CVE-2026-115274

Nome do Software Vulnerável e Versões Afetadas elixir versões 1.18.0-rc.0 até 1.18.5 elixir versões 1.19.0-rc.0 até 1.19.6 elixir versões 1.20.0-rc.0 até 1.20.4

Description A validação inadequada da quantidade especificada na entrada no módulo JSON da biblioteca padrão do Elixir permite que um invasor não autenticado cause a negação de serviço através do esgotamento de CPU e memória ao fornecer um documento JSON especialmente criado. As funções JSON.decode/1 e JSON.decode!/1 utilizam erlang:binary to integer/1 para converter literais inteiros sem limitar seu comprimento. Consequentemente, um literal inteiro com um milhão de dígitos consome de 100 a 300 vezes mais CPU do que uma string do mesmo comprimento, e literais que excedam aproximadamente 1,29 milhão de dígitos disparam um SystemLimitError. Aplicações geradas por phx.new são particularmente suscetíveis, pois decodificam corpos de requisição usando Plug.Parsers antes da roteamento e autenticação.

Recommendations Atualize o elixir para a versão 1.18.6 ou posterior. Atualize o elixir para a versão 1.19.7 ou posterior. Atualize o elixir para a versão 1.20.5 ou posterior. Como mitigação temporária, decodifique JSON não confiável usando um decodificador integer personalizado que rejeite sequências longas de dígitos antes da conversão. Em aplicações Phoenix, substitua Phoenix.json library() por um decodificador JSON seguro no Plug.Parsers para restringir o comprimento dos literais inteiros.