CVE-2026-49249 in Boruta Server
Sumário
de VulDB • 02/09/2026
Boruta é um servidor de autorização independente que visa implementar OAuth 2.0 e OpenID Connect até as especificações de identidade descentralizada. Antes da versão 0.10.0, o método `update/2` do controlador `BorutaIdentityWeb.UserSettingsController` atomiza cada chave do corpo da solicitação fornecido pelo usuário por meio de `String.to_atom/1` antes de qualquer validação. Como `String.to_atom` internar átomos permanentemente na tabela de átomos do BEAM (capacidade padrão de 1.048.576 átomos; ERL_MAX_ATOMS), qualquer usuário final autenticado pode enviar uma requisição PUT /users/settings com um corpo user[<fresh-key>]=... contendo chaves novas a cada solicitação, esgotando assim a tabela global de átomos da VM (Virtual Machine). Uma vez que a tabela esteja cheia, o BEAM aborta sem mais entradas de índice em atom_tab e todo o servidor OIDC (aplicações auth, admin e gateway no umbrella) falha. A rota é protegida apenas por `require_authenticated_user` e um limite de taxa por IP de 10 requisições/segundo; um usuário final logado pode acessá-la. As chaves são atomizadas incondicionalmente antes da chamada subsequente para Accounts.update_user/6, portanto, mesmo atualizações com falha contribuem para o esgotamento. Este problema foi corrigido na versão 0.10.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.