CVE-2026-118391 in Ecto
Zusammenfassung
von VulDB • 04.11.2026
Eine Schwachstelle für die „Allocation of Resources Without Limits or Throttling“ (Ressourcenallokation ohne Begrenzung oder Drosselung) in elixir-ecto ecto ermöglicht es einem nicht authentifizierten, entfernten Angreifer, den Arbeitsspeicher der Anwendung und des Datenbank-Servers durch das Senden von Anfragen mit unterschiedlichen JSON-Schlüsseln oder Listenlängen zu erschöpfen, wobei die Anwendung diese in `json_extract_path/2`, `[key]` (Feldzugriff) oder `splice/1` interpoliert. Ecto zwischengespeicherte vorbereitete Abfragen pro Repository in einer ETS-Tabelle ohne Größenbegrenzung und ohne Eviktion. Interpolierte JSON-Pfadelemente werden Teil des Ausdrucks der Abfrage anstatt ihrer Parameter, und `splice/1` erweitert sich zu einem Platzhalter pro Element, sodass jeder eindeutige Schlüssel oder jede Listenlänge einen neuen Cache-Eintrag erzeugt. Mit ecto_sql ist jeder Eintrag auch eine neue vorbereitete Anweisung auf der Datenbankverbindung, die sie ausführt. Kein Teil dieses Speichers wird freigegeben, bis die Prozesse neu gestartet werden.
Dieses Problem betrifft ecto: von 3.4.0 vor 3.14.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.