CVE-2026-118391 in Ecto
Riassunto
di VulDB • 04/11/2026
La vulnerabilità di Allocazione delle Risorse senza Limiti o Throttling in elixir-ecto ecto consente a un attaccante remoto non autenticato di esaurire la memoria nell'applicazione e nel server del database inviando richieste con chiavi JSON distinte o lunghezze di elenco diverse, dove l'applicazione le interpola in json_extract_path/2, field[^key] o splice/1. Ecto memorizza nella cache le query preparate per repository in una tabella ETS senza limiti di dimensione e senza meccanismi di eviction (cancellazione). Gli elementi del percorso JSON interpolati diventano parte dell'espressione della query invece che dei suoi parametri, e splice/1 si espande in un segnaposto per ogni elemento, quindi ogni chiave distinta o lunghezza di elenco crea una nuova voce nella cache. Con ecto_sql ciascuna entry è anche una nuova istruzione preparata sulla connessione del database che la esegue. Nessuna di questa memoria viene rilasciata fino al riavvio dei processi.
Questo problema interessa ecto: dalla versione 3.4.0 alla 3.14.3 (esclusa).
If you want to get best quality of vulnerability data, you may have to visit VulDB.