CVE-2026-91043
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach elixir-mint mint dotycząca alokacji zasobów bez ograniczeń lub dławienia umożliwia złośliwemu serwerowi HTTP/2 wyczerpanie pamięci na hoście klienta i spowodowanie odmowy usługi.
Mint.HTTP2 wymusza ustawienie max_header_list_size klienta tylko w przypadku skompresowanego rozmiaru przychodzącego bloku nagłówka, podczas gdy RFC 9113 sekcja 6.5.2 definiuje limit zdekodowanej listy nagłówków. Pole indeksowane HPACK kosztuje jeden bajt w sieci i dekoduje do dynamicznego wpisu tabeli o rozmiarze do 4 KB, a Join_cookie_headers/1 w lib/mint/http2.ex kopiuje każdą wartość pliku cookie odpowiedzi do jednego nowego pliku binarnego. Blok nagłówka poniżej domyślnego limitu 256 KB powoduje, że klient przydziela około 1 GB na pojedynczą odpowiedź, a kilka takich odpowiedzi w jednej dostawie wyczerpuje pamięć procesu będącego właścicielem połączenia lub całej maszyny wirtualnej.
Ten problem dotyczy mennicy: od 1.1.0 do 1.11.0.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-91043.html
- https://github.com/elixir-mint/mint/commit/8e0e04680476f90f9f68db4dfeabcbe66dabfc4d
- https://github.com/elixir-mint/mint/commit/c7895cb022196c77ec35570c8e873a84393ff4b8
- https://github.com/elixir-mint/mint/security/advisories/GHSA-9x8p-qrf4-jq7g
- https://osv.dev/vulnerability/EEF-CVE-2026-91043
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org