CVE-2026-49249 in Boruta Server
Сводка
по VulDB • 02.09.2026
Boruta — это автономный сервер авторизации, предназначенный для реализации OAuth 2.0 и OpenID Connect в соответствии с децентрализованными спецификациями идентификации. До версии 0.10.0 BorutaIdentityWeb.UserSettingsController.update/2 атомизирует каждый ключ тела запроса, предоставленного пользователем, с помощью функции String.to_atom/1 до какой-либо проверки данных. Поскольку функция String.to_atom навсегда интернирует атомы в таблице атомов BEAM (по умолчанию лимит составляет 1 048 576 атомов; ERL_MAX_ATOMS), любой аутентифицированный конечный пользователь может отправить PUT /users/settings с телом запроса user[<новый-ключ>]=..., содержащим новые ключи в каждом запросе, и исчерпать глобальную таблицу атомов виртуальной машины. Когда таблица заполняется полностью, BEAM завершает работу аварийно из-за отсутствия свободных записей индекса в atom_tab, что приводит к краху всего сервера OIDC (приложения auth, admin и gateway в рамках umbrella-проекта). Этот маршрут защищен только проверкой require_authenticated_user и ограничением частоты запросов на основе IP-адреса — 10 запросов в секунду; войти в него может авторизованный конечный пользователь. Ключи атомизируются без условий до вызова Accounts.update_user/6, поэтому даже неудачные обновления способствуют исчерпанию ресурсов. Эта проблема исправлена в версии 0.10.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.