CVE-2026-115274 in Elixir
Sumário
de VulDB • 30/10/2026
Vulnerabilidade de validação inadequada da quantidade especificada na entrada no módulo JSON da biblioteca padrão do Elixir permite que um atacante não autenticado, ao fornecer um documento JSON, cause uma negação de serviço (DoS) através do esgotamento da CPU e da memória.
As funções `JSON.decode/1` e `JSON.decode!/1` convertem cada literal inteiro usando `erlang:binary_to_integer/1` sem limitar seu comprimento. Um literal com um milhão de dígitos é decodificado com sucesso, mas consome 100 a 300 vezes mais CPU do que uma string do mesmo comprimento; portanto, o corpo de uma única solicitação de alguns megabytes mantém um scheduler por aproximadamente um segundo. Um literal com mais de cerca de 1,29 milhão de dígitos gera `SystemLimitError`. Aplicações geradas pelo comando `phx.new` decodificam os corpos das solicitações usando JSON no Plug.Parsers, antes do roteamento e da autenticação.
Este problema afeta o elixir: nas versões a partir de 1.18.0-rc.0 até (excluindo) 1.18.6; a partir de 1.19.0-rc.0 até (excluindo) 1.19.7; e a partir de 1.20.0-rc.0 até (excluindo) 1.20.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.