CVE-2026-91043 in mint
Zusammenfassung
von VulDB • 28.09.2026
Die Schwachstelle „Allocation of Resources Without Limits or Throttling“ in elixir-mint mint ermöglicht es einem böswilligen HTTP/2-Server, den Arbeitsspeicher auf dem Client-Host zu erschöpfen und einen Denial-of-Service (DoS) auszulösen.
Mint.HTTP2 erzwingt die Einstellung `max_header_list_size` des Clients nur für die komprimierte Größe eines eingehenden Header-Blocks, während RFC 9113 Abschnitt 6.5.2 das Limit auf der dekodierten Header-Liste definiert. Ein HPACK-indexiertes Feld kostet ein Byte im Netzwerkverkehr und wird zu einem dynamischen Tabelleneintrag mit bis zu 4 KB dekodiert; zudem kopiert `join_cookie_headers/1` in `lib/mint/http2.ex` jeden Cookie-Wert einer Antwort in einen neuen Binary-Datenblock. Ein Header-Block, der das Standard-Limit von 256 KB im Netzwerkverkehr nicht überschreitet, führt dazu, dass der Client für eine einzelne Antwort etwa 1 GB speicherzuweist; mehrere solche Antworten innerhalb eines einzigen Transports erschöpfen den Speicher des Prozesses, dem die Verbindung gehört, oder sogar des gesamten VM (Virtual Machine).
Dieses Problem betrifft mint: von Version 1.1.0 bis vor 1.11.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.