CVE-2026-111101

Nome do Software Vulnerável e Versões Afetadas bandit versões 0.1.0 até 1.13.x

Description Um invasor remoto não autenticado pode esgotar a memória e a CPU do servidor enviando um corpo de requisição composto por inúmeros chunks de 1 byte. O problema reside no leitor de corpo chunked HTTP/1.1 em lib/bandit/http1/socket.ex, que mantém cada chunk como sua própria célula de lista e termo binário até que sejam unidos pela função IO.iodata to binary/1. Como a opção :length da função read body/2 conta apenas bytes de dados e não limita o número de chunks, chunks minúsculos consomem muito mais memória do que sua carga útil. Isso pode ocorrer mesmo que a rota não precise ler o corpo, pois a função ensure completed/1 drena corpos não lidos em conexões keep-alive.

Recommendations Atualize o bandit para a versão 1.14.0 ou posterior. Como medida paliativa temporária para versões 0.7.0 e posteriores, se todos os clientes e proxies suportarem HTTP/2, desative o HTTP/1 configurando http 1 options: [enabled: false] para evitar a execução do leitor de corpo chunked.