CVE-2026-56814
ŚrednieCVSS 6.9Streszczenie
Parser multipart w bibliotece Plug nie uwzględnia nagłówków części w limicie długości (:length), co pozwala atakującemu na wysłanie żądania z wieloma pustymi plikami. Każda część z niepustym filename tworzy tymczasowy plik, prowadząc do wyczerpania inod, miejsca na dysku i pamięci. Podatność umożliwia atak DoS bez uwierzytelnienia.
Ocena ryzyka
Organizacja narażona jest na atak typu Denial of Service (DoS) poprzez wyczerpanie zasobów systemowych (inody, dysk, pamięć) przez pojedyncze żądanie HTTP. Atak nie wymaga uwierzytelnienia, wystarczy dostęp do endpointu obsługującego multipart.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Plug do wersji 1.16.6, 1.17.4, 1.18.5, 1.19.5 lub 1.20.3 (w zależności od używanej gałęzi). Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie dostępu do endpointów multipart lub zastosowanie dodatkowego limitu liczby części.
Inne podatności w Plug
Zobacz wszystkie- CVE-2026-56813Niskie
W bibliotece Plug dla języka Elixir wykryto podatność polegającą na braku neutralizacji separatora ';' w funkcji Plug.Conn.Cookies.encode/2. Umożliwia to atakującemu wstrzyknięcie dodatkowych atrybutów do nagłówka Set-Cookie, co może prowadzić do nadpisania istniejących atrybutów ciasteczka.
- CVE-2026-54892Wysokie
W Plug występuje problem z wydajnością w dekoderze zagnieżdżonych parametrów, który pozwala nieautoryzowanemu zdalnemu atakującemu na wywołanie odmowy usługi. Złożoność algorytmu dekodowania jest kwadratowa w zależności od liczby poziomów zagnieżdżenia, co może prowadzić do zablokowania serwera.
Oryginalny opis (angielski, źródło NVD)
Plug.Parsers.MULTIPART, the multipart request-body parser used to handle file uploads and multipart forms, does not enforce its :length budget against all consumed resources, allowing an unauthenticated remote attacker to cause denial of service. The parser charges the :length limit only for part body bytes; part header bytes are never counted, and a part with an empty body costs zero. Because every part whose Content-Disposition carries a non-empty filename creates a fresh temporary file (via Plug.Upload) and retains a Plug.Upload struct for the duration of the request, an attacker can send a single request composed of many empty-body file parts. Such a request stays well under the configured :length limit (8,000,000 bytes by default) while creating one temporary file per part, leading to inode and disk exhaustion and unbounded memory growth. Any application using Plug.Parsers with the :multipart parser is affected, and no authentication is required, only reachability of a multipart endpoint over HTTP. This vulnerability is associated with program files lib/plug/parsers/multipart.ex and program routines Plug.Parsers.MULTIPART.parse_multipart/2, Plug.Parsers.MULTIPART.parse_multipart_headers/5, Plug.Parsers.MULTIPART.parse_multipart_body/4, and Plug.Parsers.MULTIPART.parse_multipart_file/4. This issue affects plug: from 1.4.0 before 1.16.6, from 1.17.0 before 1.17.4, from 1.18.0 before 1.18.5, from 1.19.0 before 1.19.5, and from 1.20.0 before 1.20.3.