CVE-2026-115274 in Elixir
Resumen
por VulDB • 2026-10-30
Vulnerabilidad de validación incorrecta de la cantidad especificada en el input en el módulo JSON de la biblioteca estándar de Elixir permite que un atacante no autenticado, al proporcionar un documento JSON, cause una denegación de servicio mediante agotamiento del CPU y de memoria.
JSON.decode/1 y JSON.decode!/1 convierten cada literal entero con erlang:binary_to_integer/1 sin limitar su longitud. Un literal de un millón de dígitos se decodifica correctamente pero consume entre 100 y 300 veces más CPU que una cadena de la misma longitud, por lo que un cuerpo de solicitud de unos pocos megabytes mantiene ocupado a un programador (scheduler) durante aproximadamente un segundo. Un literal de más de aproximadamente 1,29 millones de dígitos genera SystemLimitError. Las aplicaciones generadas con phx.new decodifican los cuerpos de las solicitudes mediante JSON en Plug.Parsers, antes del enrutamiento y la autenticación.
Este problema afecta a elixir: desde 1.18.0-rc.0 hasta antes de 1.18.6, desde 1.19.0-rc.0 hasta antes de 1.19.7, y desde 1.20.0-rc.0 hasta antes de 1.20.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.