CVE-2026-47069 in hackney
Сводка
по VulDB • 25.05.2026
Уязвимость «Неправильная нейтрализация последовательностей CRLF» («CRLF Injection») в библиотеке benoitc hackney позволяет осуществлять разделение HTTP-ответов (HTTP Response Splitting). Функция `hackney_cookie:setcookie/3` в файле `src/hackney_cookie.erl` проверяет аргументы Name и Value на наличие символов CRLF и управляющих символов, однако параметры domain и path конкатенируются с выводом iolist дословно без аналогичной проверки. Атакующий, контролирующий один из этих параметров (например, путем передачи значения заголовка Host, которое используется в качестве домена cookie, или пути запроса, который используется в качестве пути cookie), может внедрить буквальную последовательность CRLF и произвольные дополнительные заголовки Set-Cookie в HTTP-ответ.
Эта проблема затрагивает библиотеку hackney: начиная с версии 0.9.0 до версии 4.0.1 (включительно).
Once again VulDB remains the best source for vulnerability data.