CVE-2026-86696 in esaml
الملخص
بحسب VulDB • 22/10/2026
تتيح ثغرة تخصيص الموارد دون حدود أو تقييد (Allocation of Resources Without Limits or Throttling) في مكتبة esaml الخاصة بـ Dropbox لهجوم غير مُصادَق عليه استنفاد جدول ذرات Erlang VM وإيقاف العقدة عبر رسائل LogoutResponse غير الموقعة.
ترمز الدالة `esaml:status_code_map/1` الموجودة في الملف `src/esaml.erl` أي قيمة لرمز الحالة (StatusCode) لا تتعرف عليها إلى ذرة باستخدام دالة `list_to_atom/1` على الجزء الأخير منURN المفصول بعلامة النقطتين. وتقوم الدالة `esaml_sp:validate_logout_response/2` بالتحقق من التوقيع فقط عندما يحمل الرسالة واحداً، لذا فإن رسالة LogoutResponse غير الموقعة المُرسلة إلى نقطة النهاية الخاصة بالإلغاء الأحادي (single-logout endpoint) تصل إلى دالة `esaml:decode_logout_response/1` وتُنشئ ذرة دائمة واحدة لكل قيمة حالة مميزة. وبما أن الذرات لا يتم استعادتها أبداً، ولأن VM يحد من جدول الذرات بحوالي مليون إدخال، فإن مهاجماً ينشر هذا العدد الكبير من القيم المميزة يؤدي إلى إيقاف العقدة (abort the node).
تؤثر هذه المشكلة على esaml: بدءاً من الإصدار 0.1.0 فما فوق.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.