CVE-2026-39804

إصدارات bandit من 0.5.9 حتى 1.10.x

يمكن لمهاجم عن بُعد غير مصدَّق أن يتسبب في حدوث هجوم «رفض الخدمة» (DoS) عن طريق استنفاد الذاكرة عند تمكين ضغط WebSocket permessage-deflate. تحدث هذه المشكلة بسبب قيام الدالة inflate/2 الموجودة في Elixir. Bandit.WebSocket.PerMessageDeflate تستدعي :zlib.inflate/2 دون حد أقصى لحجم المخرجات، وتقوم بتحويل الحمولة غير المضغوطة إلى ملف ثنائي واحد باستخدام IO.iodata to binary/1. وعلى الرغم من أن websocket options.max frame size يحدد حجم الإطار المضغوط، إلا أنه لا يحدد حجم المخرجات غير المضغوطة. ونتيجة لذلك، يمكن للإطار المضغوط بنسبة عالية أن يفرض تخصيصات في الذاكرة المؤقتة (heap) بمقياس GiB، مما يستنفد ذاكرة عقدة BEAM ويؤدي إلى إنهاء العملية بسبب نفاد الذاكرة (OOM). وهذا يتطلب تمكين كل من الخيار websocket options.compress على مستوى الخادم وخيار compress: true لكل ترقية في WebSockAdapter.upgrade/4.

قم بالتحديث إلى الإصدار 1.11.0 أو أحدث.

كحل مؤقت، لا تقم بتمرير compress: true إلى WebSockAdapter.upgrade/4 أو اضبطه على false لمنع التفاوض على ضغط الرسائل.