CVE-2026-115274 in Elixir
요약
\~에 의해 VulDB • 2026. 10. 30.
입력된 수량의 부적절한 검증 취약점(Elixir 표준 라이브러리의 JSON 모듈)으로 인해 인증되지 않은 공격자가 JSON 문서를 제공하여 CPU 및 메모리 고갈을 통해 서비스 거부(Denial of Service)를 유발할 수 있습니다.
JSON.decode/1 및 JSON.decode!/1 함수는 각 정수 리터럴을 erlang:binary_to_integer/1로 변환하며 길이에 대한 제한이 없습니다. 100만 자리 숫자의 리터럴은 성공적으로 디코딩되지만, 동일한 길이의 문자열보다 CPU 사용량이 100배에서 300배 더 많이 소요됩니다. 따라서 몇 메가바이트 크기의 요청 본문 하나만으로 약 1초 동안 스케줄러를 점유할 수 있습니다. 약 129만 자리 이상의 리터럴은 SystemLimitError를 발생시킵니다. phx.new로 생성된 애플리케이션은 라우팅 및 인증 전에 Plug.Parsers에서 JSON을 사용하여 요청 본문을 디코딩합니다.
이 문제는 elixir의 다음 버전들에 영향을 미칩니다: 1.18.0-rc.0부터 1.18.6 이전, 1.19.0-rc.0부터 1.19.7 이전, 그리고 1.20.0-rc.0부터 1.20.5 이전 버전.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.