CVE-2026-105274

Nome do Software Vulnerável e Versões Afetadas rebar3 versões 3.9.1 até 3.27.2 hex versões 2.1.0 até 2.5.1 hex core versões 0.1.0 até 0.19.9

Description O manuseio inadequado de dados altamente compactados leva a um problema de amplificação de dados, onde um espelho de repositório não confiável ou um servidor que responde a solicitações de API pode esgotar a memória da VM Erlang. No módulo hex repo, as funções get names(), get versions(), get package() e get policy() descompactam as respostas do registro usando zlib:gunzip/1 e decodificam o envelope assinado antes que a assinatura seja verificada. Isso permite que um espelho forneça uma pequena resposta compactada que se expande em um envelope de tamanho arbitrário. Além disso, o hex api decodifica respostas com o tipo de conteúdo application/vnd.hex+erlang através de hex safe binary to term:safe binary to term/1, que utiliza binary to term(Binary, [safe]). Embora a opção safe evite a criação de átomos, ela não limita o tamanho do termo decodificado, e a validação para rejeitar funções e portas ocorre apenas após a construção do termo.

Recommendations Atualize o rebar3 para a versão 3.27.3 ou posterior. Atualize o hex para a versão 2.5.2 ou posterior. Atualize o hex core para a versão 0.20.0 ou posterior.