Към съдържанието
Търсене

CVE-2026-53426: leandrocp mdex, отказ на услуга

8.2

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се локално, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Allocation of Resources Without Limits or Throttling vulnerability in leandrocp MDEx allows Excessive Allocation. MDEx.parse_document/2 accepts a {:json, json} source. In lib/mdex.ex, the private json_to_node/1 function passes the attacker-controlled node_type value to Module.concat/1, which calls String.to_atom/1 and interns a brand-new atom for every distinct value. Atoms are never garbage collected on the BEAM, so a crafted JSON document carrying a unique node_type at each (deeply nested) node mints one permanent atom per node. A single document can intern hundreds of thousands of atoms, and a large enough document exhausts the default atom table (around 1,048,576 atoms) and aborts the entire Erlang VM, taking down every process on the node. Any application that passes untrusted input to the {:json, ...} source of MDEx.parse_document is exposed to an unauthenticated denial-of-service. This issue affects mdex from 0.4.3 before 0.13.2.

Засегнати продукти

  • leandrocp mdex: 0.4.3 преди 0.13.2
  • leandrocp mdex: cbb59a3f792dbc343873adec3466f49c853dc309 преди 00fddf444220a1f1cc0af0a1cab6738804878387

Вид слабост

История

  • 29 юни 2026 Публикувано

Други уязвимости в leandrocp mdex

Първоизточници

CVE-2026-53426: leandrocp mdex, отказ на услуга | freedomonline.bg