CVE-2026-56669

WysokieCVSS 7.5

Opublikowano: 08/07/2026(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 11/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Podatność w frameworku Elysia przed wersją 1.4.29 powoduje kwadratowy wzrost obciążenia CPU podczas przetwarzania danych formularza multipart/form-data z wieloma unikalnymi parami klucz-wartość. Użycie funkcji getAll w normalizacji danych prowadzi do wyczerpania zasobów procesora.

Ocena ryzyka

Atakujący może wysłać specjalnie spreparowane żądanie z dużą liczbą unikalnych par klucz-wartość, powodując nadmierne zużycie CPU i potencjalną niedostępność usługi (DoS).

Rekomendacja

Należy natychmiast zaktualizować framework Elysia do wersji 1.4.29 lub nowszej, która zawiera poprawkę eliminującą problem kwadratowego wzrostu złożoności.

Inne podatności w Elysia

CVE-2025-66456Krytyczne
Elysia to framework TypeScript do walidacji żądań, inferencji typów, dokumentacji OpenAPI i komunikacji klient-serwer. Wersje 1.4.0 do 1.4.16 zawierają podatność na zanieczyszczenie prototypu w funkcji mergeDeep po scaleniu wyników dwóch standardowych walidacji schematu z tym samym kluczem. Z powodu kolejności scalania, musi istnieć typ any ustawiony jako samodzielny strażnik, aby umożliwić scalenie właściwości __proto__. W połączeniu z GHSA-8vch-m3f4-q8jf umożliwia to pełne zdalne wykonanie kodu przez atakującego. Problem naprawiono w wersji 1.4.17.

Oryginalny opis (angielski, źródło NVD)

Elysia is a Typescript framework for request validation, type inference, OpenAPI documentation, and client-server communication. Prior to 1.4.29, Elysia uses getAll in form data normalization for multipart/form-data endpoints, causing the amount of work to grow quadratically with the number of unique key-value pairs and allowing CPU exhaustion. This issue is fixed in version 1.4.29.