CVE-2026-56813

Nome do Software Vulnerável e Versões Afetadas elixir-plug versões 0.1.0 até 1.16.5 elixir-plug versões 1.17.0 até 1.17.3 elixir-plug versões 1.18.0 até 1.18.4 elixir-plug versões 1.19.0 até 1.19.4 elixir-plug versões 1.20.0 até 1.20.2

Description A neutralização inadequada de delimitadores de parâmetros permite que um invasor injete ou substitua atributos de cookies HTTP. A função encode/2 em Plug.Conn.Cookies constrói o cabeçalho de resposta Set-Cookie interpolando o valor do cookie e seus atributos de caminho, domínio, same site e atributos extras sem neutralizar o delimitador ';'. Se uma aplicação colocar dados controlados por um invasor em um valor ou atributo de cookie, como através da função put resp cookie/4, um invasor pode injetar um ';' para anexar ou substituir atributos como o escopo de Domínio e Caminho, ou remover as flags Secure e HttpOnly. Isso pode possibilitar cookie tossing e fixação de sessão. Embora retornos de carro, alimetações de linha e bytes nulos sejam rejeitados, impedindo a divisão de resposta HTTP, a injeção de atributos via ';' permanece possível.

Recommendations Atualize para a versão 1.16.6 ou posterior. Atualize para a versão 1.17.4 ou posterior. Atualize para a versão 1.18.5 ou posterior. Atualize para a versão 1.19.5 ou posterior. Atualize para a versão 1.20.3 ou posterior. Como medida paliativa temporária, valide ou rejeite o delimitador ';' em quaisquer dados não confiáveis antes de passá-los como valor ou atributo de cookie para as funções put resp cookie/4 ou encode/2.