CVE-2026-54892
WysokieCVSS 8.7Streszczenie
W Plug występuje problem z wydajnością w dekoderze zagnieżdżonych parametrów, który pozwala nieautoryzowanemu zdalnemu atakującemu na wywołanie odmowy usługi. Złożoność algorytmu dekodowania jest kwadratowa w zależności od liczby poziomów zagnieżdżenia, co może prowadzić do zablokowania serwera.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeciążenia serwera, co skutkuje jego niedostępnością. Wymagana jest jedynie możliwość wysłania odpowiedniego żądania, bez potrzeby autoryzacji.
Rekomendacja
Zaleca się aktualizację Plug do wersji 1.15.5, 1.16.4, 1.17.2, 1.18.3 lub 1.19.3, aby usunąć tę podatność. Dodatkowo warto rozważyć ograniczenie liczby zagnieżdżeń w zapytaniach.
Inne podatności w Plug
Zobacz wszystkie- CVE-2026-56813Niskie
W bibliotece Plug dla języka Elixir wykryto podatność polegającą na braku neutralizacji separatora ';' w funkcji Plug.Conn.Cookies.encode/2. Umożliwia to atakującemu wstrzyknięcie dodatkowych atrybutów do nagłówka Set-Cookie, co może prowadzić do nadpisania istniejących atrybutów ciasteczka.
- CVE-2026-56814Średnie
Parser multipart w bibliotece Plug nie uwzględnia nagłówków części w limicie długości (:length), co pozwala atakującemu na wysłanie żądania z wieloma pustymi plikami. Każda część z niepustym filename tworzy tymczasowy plik, prowadząc do wyczerpania inod, miejsca na dysku i pamięci. Podatność umożliwia atak DoS bez uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
Inefficient algorithmic complexity in Plug's nested-parameter decoder allows an unauthenticated remote attacker to cause denial of service. Plug.Conn.Query.decode/4 (and Plug.Conn.Query.decode_each/2) parse query strings and application/x-www-form-urlencoded request bodies. When a key contains many bracketed segments such as a[a][a][a]=1, the decoder walks the brackets and, for each of the N levels, performs a map operation keyed on an ever-growing binary prefix of the key, hashing the full byte range at each step. The total decode cost is therefore quadratic in the number of nesting levels. With the default Plug.Parsers.URLENCODED body limit of 1,000,000 bytes, a single request can carry roughly 333,000 nesting levels and saturate a BEAM scheduler for minutes. A small number of concurrent requests can saturate all schedulers and render a Plug-based server unresponsive. No authentication or knowledge of application routes is required. This vulnerability is associated with program files lib/plug/conn/query.ex and program routines Plug.Conn.Query.decode/4, Plug.Conn.Query.decode_each/2, Plug.Conn.Query.split_keys/6, Plug.Conn.Query.insert_keys/3, and Plug.Conn.Query.finalize_pointer/2. This issue affects plug from 1.15.0 before 1.15.5, 1.16.4, 1.17.2, 1.18.3, and 1.19.3.