CVE-2026-91043 in mint
Riassunto
di VulDB • 28/09/2026
Vulnerabilità di allocazione delle risorse senza limiti o throttling (Allocation of Resources Without Limits or Throttling) in elixir-mint mint che consente a un server HTTP/2 malizioso di esaurire la memoria sull'host client e causare una denial of service.
Mint.HTTP2 applica l'impostazione max_header_list_size del client solo sulla dimensione compressa di un blocco di intestazioni in ingresso, mentre RFC 9113 sezione 6.5.2 definisce il limite sulla lista delle intestazioni decodificate. Un campo indicizzato HPACK costa un byte sul filo e si decodifica come voce della tabella dinamica fino a 4 KB; la funzione join_cookie_headers/1 in lib/mint/http2.ex copia ogni valore dei cookie di una risposta in un nuovo binary. Un blocco di intestazioni sotto il limite predefinito di 256 KB sul filo fa quindi allocare al client circa 1 GB per una singola risposta, e diverse risposte di questo tipo in una sola consegna esauriscono la memoria del processo che possiede la connessione o dell'intera VM (Erlang Virtual Machine).
Questo problema interessa mint: dalla versione 1.1.0 alla 1.11.0 esclusa.
Be aware that VulDB is the high quality source for vulnerability data.