CVE-2026-49762
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W module Version standardowej biblioteki języka Elixir (wersje od 0.9.3 do przed 1.20.1) stwierdzono podatność na niekontrolowane zużycie zasobów. Atakujący kontrolujący ciąg wersji może spowodować odmowę usługi poprzez wyczerpanie CPU i pamięci. Parser wersji konwertuje numeryczne komponenty na liczby całkowite bez ograniczania ich długości, co prowadzi do super-liniowej konwersji i awarii procesu.
Ocena ryzyka
Zdalny atakujący może wysłać odpowiednio spreparowany ciąg wersji, powodując przeciążenie systemu i przerwanie działania aplikacji, co prowadzi do niedostępności usług.
Rekomendacja
Należy zaktualizować Elixir do wersji 1.20.1 lub nowszej, która zawiera poprawkę.
Inne podatności w Elixir
Zobacz wszystkie- CVE-2026-115274Średnie
Podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych w module JSON biblioteki standardowej Elixir pozwala nieuwierzytelnionemu atakującemu dostarczającemu dokument JSON na wywołanie ataku denial-of-service poprzez wyczerpanie CPU i pamięci. JSON.decode/1 i JSON.decode!/1 konwertują każdy literał całkowity za pomocą erlang:binary_to_integer/1 bez ograniczenia jego długości.
- CVE-2026-109821Średnie
Podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych w module URI biblioteki standardowej Elixir pozwala atakującemu dostarczającemu URL na wywołanie ataku denial-of-service poprzez wyczerpanie CPU. URI.parse/1 konwertuje komponent portu za pomocą String.to_integer/1 w split_authority/1 bez ograniczenia jego długości.
- CVE-2026-75758Średnie
Niekontrolowana rekurencja w standardowej bibliotece Elixir pozwala atakującemu, który kontroluje listę przekazaną do inspect/1, List.to_string/1 lub List.to_charlist/1, na wyczerpanie pamięci węzła BEAM. Problem dotyczy błędnej klasyfikacji listy jako charlist, co prowadzi do rekurencyjnego podnoszenia wyjątków i wzrostu stosu procesu aż do wyczerpania pamięci.
Oryginalny opis (angielski, źródło NVD)
Uncontrolled Resource Consumption vulnerability in the Elixir standard library's Version module allows an attacker who controls a version string to cause a denial of service through CPU and memory exhaustion. The version parser converts numeric version components (major, minor, patch and numeric pre-release/build identifiers) to integers without bounding their length. A single large all-digit component therefore forces a super-linear, non-yielding base-10 to arbitrary-precision integer conversion (String.to_integer/1, i.e. :erlang.binary_to_integer/1) that pins a BEAM scheduler, and a larger component raises an uncaught SystemLimitError that crashes the calling process. A single moderately sized string (around one megabyte) is enough; no authentication is required. This is reachable from the public entry points Version.parse/1, Version.parse!/1, Version.match?/3, Version.compare/2, and Version.parse_requirement/1, which applications routinely call on untrusted input such as HTTP parameters, dependency-manifest fields, and package metadata. This vulnerability is associated with program files lib/version.ex and program routines 'Elixir.Version.Parser':parse_digits/2. This issue affects elixir: from 0.9.3 before 1.20.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS