CVE-2026-115701

اسم البرنامج المصاب والإصدارات المتأثرة ninenines cowboy الإصدارات 2.18.0 وما بعدها

Description يمكن لمهاجم عن بُعد غير مصرح له أن يتسبب في نفاد ذاكرة Erlang VM من خلال استهلاك ذاكرة عملية الاتصال عبر HTTP/1.1. يحدث هذا عندما يتم استلام طلب بالكامل ولا يزال المعالج الخاص به يعمل؛ حيث تقوم الدالة cowboy http:parse/2 في src/cowboy http.erl بإلحاق كل بايت إضافي يصل عبر اتصال keep-alive إلى ذاكرة التخزين المؤقت للاتصال دون تحليله. خلال هذه الحالة، يظل المقبس نشطًا ولا يتم تطبيق حدود التحليل مثل max request line length و max headers. المؤقت النشط الوحيد هو idle timeout الذي يتم إعادة ضبطه عند استلام كل جزء من البيانات، مما يسمح للمهاجم بإرسال كمية تعسفية من البيانات طالما ظل المعالج نشطًا. هذا الأمر مؤثر بشكل خاص لنقاط النهاية التي تستخدم long polling أو الاستجابات المتدفقة أو مكالمات الخلفية البطيئة. اتصالات HTTP/2 غير متأثرة.

Recommendations في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.