Podatności Plug

W Plug występuje problem z wydajnością w dekoderze zagnieżdżonych parametrów, który pozwala nieautoryzowanemu zdalnemu atakującemu na wywołanie odmowy usługi. Złożoność algorytmu dekodowania jest kwadratowa w zależności od liczby poziomów zagnieżdżenia, co może prowadzić do zablokowania serwera.

W bibliotece elixir-plug plug funkcja Plug.Conn.Cookies.encode/2 buduje nagłówek Set-Cookie, wstawiając wartość cookie oraz atrybuty path, domain, same_site i extra bez neutralizacji separatora ;. Aplikacja umieszczająca dane kontrolowane przez atakującego w wartości lub atrybucie cookie pozwala atakującemu wstrzyknąć ; i dodać lub nadpisać atrybuty cookie.

Parser multipart w Plug.Parsers.MULTIPART nie egzekwuje limitu :length wobec wszystkich zasobów, co pozwala nieuwierzytelnionemu atakującemu na wywołanie DoS. Nagłówki części nie są liczone, a puste części tworzą pliki tymczasowe, prowadząc do wyczerpania inodów, dysku i pamięci. Problem dotyczy wersji plug od 1.4.0-rc.0 do 1.16.6, 1.17.0-1.17.4, 1.18.0-1.18.5, 1.19.1-1.19.5, 1.20.0-1.20.3.