CVE-2026-56669
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Podatność w frameworku Elysia przed wersją 1.4.29 powoduje kwadratowy wzrost obciążenia CPU podczas przetwarzania danych formularza multipart/form-data z wieloma unikalnymi parami klucz-wartość. Użycie funkcji getAll w normalizacji danych prowadzi do wyczerpania zasobów procesora.
Ocena ryzyka
Atakujący może wysłać specjalnie spreparowane żądanie z dużą liczbą unikalnych par klucz-wartość, powodując nadmierne zużycie CPU i potencjalną niedostępność usługi (DoS).
Rekomendacja
Należy natychmiast zaktualizować framework Elysia do wersji 1.4.29 lub nowszej, która zawiera poprawkę eliminującą problem kwadratowego wzrostu złożoności.
Inne podatności w Elysia
Zobacz wszystkie- CVE-2025-66456Krytyczne
Elysia to framework TypeScript do walidacji żądań, inferencji typów, dokumentacji OpenAPI i komunikacji klient-serwer. Wersje 1.4.0 do 1.4.16 zawierają podatność na zanieczyszczenie prototypu w funkcji mergeDeep po scaleniu wyników dwóch standardowych walidacji schematu z tym samym kluczem. Z powodu kolejności scalania, musi istnieć typ any ustawiony jako samodzielny strażnik, aby umożliwić scalenie właściwości __proto__. W połączeniu z GHSA-8vch-m3f4-q8jf umożliwia to pełne zdalne wykonanie kodu przez atakującego. Problem naprawiono w wersji 1.4.17.
- CVE-2025-66457Wysokie
Elysia to framework TypeScript do walidacji żądań, wnioskowania typów, dokumentacji OpenAPI i komunikacji klient-serwer. W wersjach 1.4.17 i starszych konfiguracja ciasteczek jest wstrzykiwana do skompilowanej trasy bez uprzedniej sanityzacji, co umożliwia wykonanie dowolnego kodu; problem naprawiono w wersji 1.4.18.
Oryginalny opis (angielski, źródło NVD)
Elysia is a Typescript framework for request validation, type inference, OpenAPI documentation, and client-server communication. Prior to 1.4.29, Elysia uses getAll in form data normalization for multipart/form-data endpoints, causing the amount of work to grow quadratically with the number of unique key-value pairs and allowing CPU exhaustion. This issue is fixed in version 1.4.29.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS