- Yama var
- Son 7 gün
- CWE-522
CVE-2026-113440
hackney'de yönlendirmelerde kimlik bilgileri farklı şema veya porta yeniden gönderiliyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- EEF
ÖzetTürkçe
Bir yönlendirme sunucusu, follow_redirect etkinken aynı ana makine üzerinde https'den http'ye veya farklı bir porta yapılan yönlendirme yoluyla isteğin basic_auth ve cookie kimlik bilgilerini elde edebilir. Yetersiz korunan kimlik bilgilerine ilişkin bu sorun, benoitc hackney içinde bulunmaktadır. follow_redirect/10 (src/hackney.erl) etkinken, hackney:maybe_strip_auth_on_redirect/3 çağrısından sonra istek Location hedefine yeniden gönderilir; ancak bu fonksiyon yalnızca mevcut ve yönlendirme URL'lerinin ana makine adını karşılaştırır. Aynı ana makinede https'den http'ye yapılan yönlendirme, Authorization ve Cookie başlıklarını açık metin olarak yeniden gönderir ve bunları yolda bulunan bir saldırgan okuyabilir. Aynı ana makinede farklı bir porta yapılan yönlendirme ise bu kimlik bilgilerini farklı bir hizmete iletir. location_trusted, tasarımı gereği kimlik bilgilerini herhangi bir hedefe iletir ve bu davranış değiştirilmemiştir. Sorun, 2.0.0 sürümünden 4.9.0 öncesine kadar olan hackney sürümlerini etkilemektedir.
Kaynaktaki açıklama (İngilizce)
Insufficiently Protected Credentials vulnerability in hackney in benoitc hackney allows a redirecting server to obtain the basic_auth and cookie credentials of a request via a same-host redirect to another scheme or port. With follow_redirect enabled, hackney:follow_redirect/10 in src/hackney.erl reissues the request to the Location target after hackney:maybe_strip_auth_on_redirect/3, which compared only the hostname of the current and the redirect URL. A redirect from https to http on the same host resent the Authorization and Cookie headers in cleartext, where an on-path attacker can read them, and a redirect to another port on the same host handed them to a different service. location_trusted forwards credentials to any target by design and is unchanged.
This issue affects hackney: from 2.0.0 before 4.9.0.
Üreticinin geçici önlemi (İngilizce)
Disable follow_redirect and handle the Location header in the application, or pass the credentials as explicit Authorization and Cookie request headers instead of the basic_auth and cookie options. hackney:follow_redirect/10 issues the redirected request with an empty header list, so explicit headers reach the first server only.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| benoitc hackney | ≥ 2.0.0, < 4.9.0 | 4.9.0 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/benoitc/hackney/releases/tag/4.9.0 Üretici bülteni
- github.com/…ommit/6548384b22ea196023a1963e2967d5715b6d9564 Yama
- github.com/benoitc/hackney/pull/979 Diğer
- cna.erlef.org/cves/CVE-2026-113440.html Diğer
- osv.dev/vulnerability/EEF-CVE-2026-113440 Diğer
- github.com/…ommit/8f944559bdb83da60b5c06f6cf6d842591278364 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.