CVE-2026-48594

Nome do Software Vulnerável e Versões Afetadas tesla versões 0.6.0 through 1.18.2

Description O manuseio inadequado de dados altamente comprimidos permite a negação de serviço por meio de uma bomba de descompressão em corpos de resposta HTTP. Quando Tesla.Middleware.DecompressResponse ou Tesla.Middleware.Compression é utilizado em um pipeline de middleware, os corpos de resposta são descomprimidos de forma ávida sem limite de tamanho. A função decompress body/2 passa o corpo completo da resposta para :zlib.gunzip/1 ou :zlib.unzip/1 sem limitar o tamanho da saída. Além disso, a função compression algorithms/1 divide o cabeçalho content-encoding por vírgulas, e a decompress body/2 recursa para cada token. Um servidor que anuncie múltiplos tokens gzip no cabeçalho content-encoding pode desencadear passagens de descompressão recursivas, resultando em amplificação exponencial de dados, onde uma pequena carga útil de rede expande-se para gigabytes de BEAM heap (área de memória utilizada pela máquina virtual Erlang), esgotando a memória e travando ou congelando o processo de chamada.

Recommendations Atualize o tesla para a versão 1.18.3. Como medida paliativa temporária, evite incluir Tesla.Middleware.DecompressResponse ou Tesla.Middleware.Compression no pipeline de middleware do Tesla.