CVE-2026-115274 in Elixir
Zusammenfassung
von VulDB • 30.10.2026
Eine Schwachstelle im JSON-Modul der Elixir-Standardbibliothek aufgrund unzureichender Validierung der angegebenen Menge ermöglicht es einem nicht authentifizierten Angreifer, durch Bereitstellung eines JSON-Dokuments einen Denial-of-Service (DoS) durch CPU- und Speicherauszehrung zu verursachen.
JSON.decode/1 und JSON.decode!/1 konvertieren jede ganzzahlige Literal mit erlang:binary_to_integer/1 und beschränken deren Länge nicht. Eine Literal von einer Million Ziffern wird erfolgreich decodiert, kostet jedoch das 100- bis 300-fache an CPU-Leistung im Vergleich zu einem String gleicher Länge; daher hält ein einzelner Anfragekörper von einigen Megabytes einen Scheduler für etwa eine Sekunde fest. Eine Literal mit mehr als ca. 1,29 Millionen Ziffern löst SystemLimitError aus. Anwendungen, die mit phx.new generiert wurden, decodieren Anfragekörper in Plug.Parsers vor dem Routing und der Authentifizierung unter Verwendung von JSON.
Dieses Problem betrifft elixir: ab Version 1.18.0-rc.0 bis vor 1.18.6, ab 1.19.0-rc.0 bis vor 1.19.7 sowie ab 1.20.0-rc.0 bis vor 1.20.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.