CVE-2026-109821

Nome do Software Vulnerável e Versões Afetadas Elixir versões 0.5.0 até 1.18.5 Elixir versões 1.19.0-rc.0 até 1.19.6 Elixir versões 1.20.0-rc.0 até 1.20.4

Description Uma validação inadequada da quantidade especificada na entrada no módulo URI da biblioteca padrão do Elixir permite que um invasor cause a negação de serviço através do esgotamento da CPU ao fornecer uma URL com um componente de porta excessivamente longo. A função URI.parse/1 utiliza String.to integer/1 dentro de split authority/1 para converter a porta sem limitar seu comprimento, permitindo a criação de um bignum (um número inteiro grande) de até 1.262.592 dígitos decimais. Quando esta URI analisada é convertida de volta para texto via URI.to string/1, inspect/1, logging ou formatação de erro, ela utiliza :erlang.integer to binary/1. No Erlang/OTP 27, 28 e 29.0, esse processo de conversão é quadrático, o que significa que o tempo de CPU necessário aumenta significativamente conforme o número de dígitos cresce. Por exemplo, uma porta com 400.000 dígitos pode levar aproximadamente 2,6 segundos para ser renderizada, enquanto uma porta de 1 MB pode levar cerca de 18 segundos. Isso pode levar ao esgotamento da CPU em servidores que analisam e, posteriormente, registram ou ecoam URLs fornecidas pelo usuário em campos de formulário ou corpo JSON.

Recommendations Atualize o Elixir para a versão 1.18.6 ou posterior. Atualize o Elixir para a versão 1.19.7 ou posterior. Atualize o Elixir para a versão 1.20.5 ou posterior. Como solução temporária, rejeite URLs que excedam alguns kilobytes de comprimento antes de analisá-las. Como solução temporária, valide e rejeite qualquer valor de port analisado que exceda 65535 antes de renderizar ou usar o objeto %URI{}.