CVE-2026-48594

إصدارات Tesla من 0.6.0 إلى 1.18.2

يؤدي التعامل غير السليم مع البيانات شديدة الضغط إلى حدوث هجوم رفض الخدمة عبر قنبلة فك الضغط في نصوص استجابات HTTP. عند استخدام Tesla.Middleware.DecompressResponse أو Tesla.Middleware.Compression في مسار البرمجيات الوسيطة، يتم فك ضغط نصوص الاستجابات بشكل متسرع دون حد أقصى للحجم. تقوم الدالة decompress body/2 بتمرير نص الاستجابة بالكامل إلى :zlib.gunzip/1 أو :zlib.unzip/1 دون وضع حد أقصى لحجم المخرجات. علاوة على ذلك، تقوم الدالة compression algorithms/1 بتقسيم رأس content-encoding بفواصل، وتقوم decompress body/2 بالتكرار لكل رمز. يمكن للخادم الذي يوفر رأس content-encoding يحتوي على عدة رموز gzip أن يؤدي إلى عمليات فك ضغط متكررة، مما يتسبب في تضخم البيانات أسيًّا حيث تتوسع حمولة شبكة صغيرة إلى غيغابايتات من كومة BEAM (منطقة الذاكرة التي تستخدمها الآلة الافتراضية لـ Erlang)، مما يؤدي إلى استنفاد الذاكرة وتعطل أو تجميد العملية المستدعية.

قم بتحديث tesla إلى الإصدار 1.18.3.

كحل مؤقت، تجنب تضمين Tesla.Middleware.DecompressResponse أو Tesla.Middleware.Compression في مسار برمجيات Tesla الوسيطة.