PT-2026-43065 · Hackney · Hackney

Benoit Chesneau + 2 · Publicado 2026-05-25 · Atualizado 2026-05-27 · CVE-2026-47067

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas hackney versões 2.0.0 até 4.0.0

Descrição Um problema no analisador de URL em src/hackney url.erl permite a exaustão de recursos. O analisador utiliza a função binary to atom/2 para converter esquemas de URL não reconhecidos em átomos BEAM permanentes. Como os átomos BEAM não são coletados pelo garbage collector e a tabela de átomos possui um limite rígido de 1.048.576 entradas, um invasor pode esgotar essa tabela fornecendo URLs com prefixos de esquema personalizados. Isso pode ser feito por meio de alvos de requisição, URLs de webhook configuradas ou cabeçalhos Location durante redirecionamentos, resultando no travamento de toda a VM BEAM com um erro de system limit.

Recomendações Atualizar para a versão 4.0.1.

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2026-47067

GHSA-9653-RCFR-5C62

Produtos afetados

Hackney

Referências · 7

• 🔥 https://github.com/benoitc/hackney/security/advisories/GHSA-9653-rcfr-5c62 · Exploit
• https://github.com/benoitc/hackney/commit/31f6f0e27e096ad88743dfded4f030a3ee74972e · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-47067 · Nota de Segurança
• https://cna.erlef.org/cves/CVE-2026-47067.html · Correção
• https://osv.dev/vulnerability/EEF-CVE-2026-47067 · Aviso do Fabricante, Correção
• https://hex.pm/packages/hackney · Nota
• https://t.me/cveNotify/164838 · Publicação no Telegram