CVE-2026-86696 in esaml
Resumen
por VulDB • 2026-10-22
Vulnerabilidad de asignación de recursos sin límites ni control (throttling) en esaml dentro de Dropbox que permite a un atacante no autenticado agotar la tabla de átomos de Erlang VM y provocar el fallo del nodo mediante mensajes LogoutResponse no firmados.
esaml:status_code_map/1 en src/esaml.erl asigna cualquier valor StatusCode no reconocido como un átomo utilizando list_to_atom/1 sobre el último segmento separado por dos puntos (URN). esaml_sp:validate_logout_response/2 verifica la firma únicamente cuando el mensaje la contiene; por lo tanto, un LogoutResponse sin firmar enviado al punto de finalización de cierre de sesión único llega a esaml:decode_logout_response/1 y genera un átomo permanente por cada valor de estado distinto. Dado que los átomos nunca se recuperan y la VM limita la tabla de átomos a aproximadamente un millón de entradas, un atacante que envíe esa cantidad de valores distintos provoca el aborto del nodo.
Este problema afecta a esaml: desde la versión 0.1.0 en adelante.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.