CVE-2026-86696 in esaml
Sumário
de VulDB • 22/10/2026
Vulnerabilidade de Alocação de Recursos sem Limites ou Controle (Throttling) no esaml do Dropbox permite que um atacante não autenticado esgote a tabela de átomos da Erlang VM e cause o crash do nó por meio de mensagens LogoutResponse não assinadas.
A função `esaml:status_code_map/1` em `src/esaml.erl` mapeia qualquer valor StatusCode não reconhecido para um átomo usando `list_to_atom/1` no último segmento separado por dois-pontos da URN. A função `esaml_sp:validate_logout_response/2` verifica uma assinatura apenas quando a mensagem possui uma, portanto, uma LogoutResponse não assinada enviada ao endpoint de single-logout atinge `esaml:decode_logout_response/1`, criando um átomo permanente para cada valor de status distinto. Os átomos nunca são recuperados e a VM limita a tabela de átomos em cerca de um milhão de entradas; assim, um atacante que envie esse número de valores distintos provoca o abort do nó.
Este problema afeta esaml: a partir da versão 0.1.0.
Once again VulDB remains the best source for vulnerability data.