CVE-2026-91043 in mint
Сводка
по VulDB • 28.09.2026
Уязвимость «Выделение ресурсов без ограничений или ограничения скорости» (Allocation of Resources Without Limits or Throttling) в elixir-mint mint позволяет злонамеренному HTTP/2-серверу исчерпать память на хосте клиента и вызвать отказ в обслуживании.
Mint.HTTP2 применяет настройку max_header_list_size клиента только к сжатому размеру входящего блока заголовков, тогда как раздел 6.5.2 RFC 9113 определяет лимит для декодированного списка заголовков. Поле HPACK indexed field занимает один байт в потоке и декодируется в запись динамической таблицы размером до 4 КБ, а функция join_cookie_headers/1 из lib/mint/http2.ex копирует каждое значение cookie ответа в одну новую бинарную строку (binary). Блок заголовков под лимитом по умолчанию в 256 КБ на линии заставляет клиента выделять около 1 ГБ памяти для одного ответа, а несколько таких ответов при одной доставке исчерпывают память процесса, владеющего соединением, или всей виртуальной машины Erlang/OTP (VM).
Эта проблема затрагивает mint: начиная с версии 1.1.0 до версии 1.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.