CVE-2026-48594
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Tesla dla Elixira (wersje od 0.6.0 do przed 1.18.3) polegająca na nieprawidłowym obsługiwaniu silnie skompresowanych danych (bomba dekompresyjna). Odpowiedzi HTTP są dekompresowane bez ograniczenia rozmiaru, a wielokrotne warstwy kompresji mogą prowadzić do wykładniczego wzrostu danych, powodując wyczerpanie pamięci i odmowę usługi.
Ocena ryzyka
Ryzyko ataku DoS poprzez wysłanie odpowiedzi HTTP z wieloma warstwami kompresji, co może doprowadzić do wyczerpania pamięci BEAM i awarii procesu.
Rekomendacja
Zaleca się aktualizację biblioteki Tesla do wersji 1.18.3 lub nowszej oraz ograniczenie rozmiaru dekompresowanych danych.
Inne podatności w Tesla
Zobacz wszystkie- CVE-2026-48597Średnie
Podatność na wyczerpanie zasobów w bibliotece Tesla (Elixir) przed wersją 1.18.3. Funkcja Tesla.Adapter.Mint.open_conn/2 konwertuje schemat URL każdego żądania na atom BEAM bez walidacji, co może doprowadzić do wypełnienia tablicy atomów i awarii VM. Atakujący może wpływać na URL żądania przez funkcje przekierowań lub webhooki.
- CVE-2026-48596Niskie
Podatność na wstrzykiwanie nagłówków HTTP w bibliotece elixir-tesla (Tesla) przed wersją 1.18.3. Funkcja Tesla.Multipart.add_content_type_param/2 dodaje dostarczone przez użytkownika ciągi do listy content_type_params bez walidacji pod kątem znaków CR (\r) lub LF (\n). Tesla.Multipart.headers/1 łączy te parametry dosłownie z "; " w celu skonstruowania wartości nagłówka Content-Type. Parametr zawierający \r\n dzieli linię nagłówka, umożliwiając wstrzyknięcie dowolnych nagłówków do wychodzącego żądania HTTP.
- CVE-2026-48595Średnie
Biblioteka Tesla (Elixir) w wersjach od 1.4.0 przed 1.18.3 nieprawidłowo obsługuje wielkość liter w nagłówkach HTTP podczas przekierowań między domenami. Nagłówek Authorization w formacie kanonicznym (np. "Authorization") nie jest filtrowany, co prowadzi do wycieku poświadczeń do zewnętrznej domeny.
Oryginalny opis (angielski, źródło NVD)
Improper Handling of Highly Compressed Data (Data Amplification) vulnerability in elixir-tesla tesla allows a denial of service via decompression bomb in HTTP response bodies. When Tesla.Middleware.DecompressResponse or Tesla.Middleware.Compression is included in a Tesla middleware pipeline, HTTP response bodies are decompressed eagerly with no size limit. The decompress_body/2 function in lib/tesla/middleware/compression.ex passes the entire response body to :zlib.gunzip/1 or :zlib.unzip/1 without any cap on the output size. Additionally, compression_algorithms/1 splits the content-encoding header on commas and decompress_body/2 recurses once per token, applying a decompression pass on each iteration. A server advertising content-encoding: gzip, gzip, gzip, gzip causes four recursive decompression passes, yielding exponential amplification: each gzip layer can expand its input roughly 1000x, so a payload of a few hundred bytes on the wire inflates to gigabytes of BEAM heap, exhausting memory and crashing or freezing the calling process. This issue affects tesla: from 0.6.0 before 1.18.3.