CVE-2026-56811

Nome do Software Vulnerável e Versões Afetadas phoenix versões 0.11.0 até 1.5.14 phoenix versões 1.6.0-rc.0 até 1.6.16 phoenix versões 1.7.0-rc.0 até 1.7.23 phoenix versões 1.8.0-rc.0 até 1.8.8

Description Um invasor não autenticado pode causar a negação de serviço em qualquer endpoint que monte um socket Phoenix com um transporte de canal acessível, como WebSocket ou LongPoll. O problema reside na rotina Elixir.Phoenix.Socket:handle in/4 dentro do arquivo lib/phoenix/socket.ex. Como os transportes do Phoenix não limitam o número de canais que um único processo de transporte pode ingressar, um cliente pode enviar um número ilimitado de mensagens phx join através de uma única conexão. Isso gera processos de canal excessivos, podendo esgotar o limite máximo de processos do BEAM e impedir que a máquina virtual inicie novos processos para tráfego legítimo. Essa amplificação ocorre dentro de uma única conexão, tornando ineficazes os limites de conexão e a limitação de taxa na camada de rede.

Recommendations Atualize o phoenix para a versão 1.5.15 ou posterior. Atualize o phoenix para a versão 1.6.17 ou posterior. Atualize o phoenix para a versão 1.7.24 ou posterior. Atualize o phoenix para a versão 1.8.9 ou posterior. Configure a opção :max channels per transport para limitar o número de canais que um único processo de transporte pode ingressar.