ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-47071

benoitc hackney

SOCKS5 TLS upgrade ignores caller timeout in hackney

CVSS 4.0
8.2بالا

شرح رسمی (انگلیسی)

Uncontrolled Resource Consumption vulnerability in benoitc hackney allows Flooding. The SOCKS5 transport in src/hackney_socks5.erl correctly applies the caller-supplied timeout to the SOCKS5 negotiation phase, but then upgrades the connection to TLS using the two-argument form ssl:connect/2, which defaults to an infinite timeout. The Timeout value is in scope at the call site but is not forwarded. A hostile SOCKS5 proxy that completes the SOCKS5 handshake normally and then goes silent (or sends a partial TLS ServerHello and stalls) will cause the connecting process to block indefinitely, regardless of the connect_timeout or recv_timeout options supplied by the caller. This issue affects hackney: from 0.10.0 before 4.0.1.

امتیازهای CVSS

امتیازنسخهمنبعبردار
8.2بالا 4.0 CVEProject cvelistV5 (CNA) (EEF) CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
benoitc hackney 0.10.0 ≤ v < 4.0.1 CVEProject cvelistV5 (CNA)
benoitc hackney 34cdbd1d20a282aacc286a89327465a3925b4c5d ≤ v < 5ccdab725c561a6f03d05a51f2d0664f98236dae CVEProject cvelistV5 (CNA)

منابع و راهنماها

۴
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۳/۰۴
آخرین به‌روزرسانی
۱۴۰۵/۰۳/۰۶
وضعیت
منتشرشده
صادرکننده (CNA)
EEF

پیش‌بینی بهره‌برداری (EPSS)

۰٫۷۵٪
احتمال بهره‌برداری در ۳۰ روز
۵۵٫۲٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
بله
وضعیت بهره‌برداری
اثبات مفهوم
اثر فنی
جزئی

ضعف‌ها (CWE)

  • CWE-400
    Uncontrolled Resource Consumption