CVE-2026-94194
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach elixir-mint mint dotycząca niespójnej interpretacji żądań HTTP („przemycanie żądań HTTP/odpowiedzi”) umożliwia złośliwemu serwerowi HTTP/1 desynchronizację pośrednika i klienta Mint w połączeniu zbiorczym, zatruwając odpowiedzi na kolejne żądania współdzielące połączenie.
Message_body/1 w lib/mint/http1.ex wybiera fragmentowanie ramek, gdy fragmentaryczne jest pierwszym kodem wymienionym w polach Transfer-Encoding odpowiedzi. RFC 9112, sekcja 6.3, stosuje ramkowanie fragmentaryczne tylko wtedy, gdy końcowe kodowanie jest podzielone na fragmenty, a w przeciwnym razie czyta treść do czasu, aż serwer zamknie połączenie. W przypadku odpowiedzi takiej jak Transfer-Encoding: chunked, gzip, pośrednik podążający za RFC traktuje każdy bajt aż do końca jako treść, podczas gdy Mint kończy treść na fragmencie o zerowej długości i analizuje pozostałe bajty jako odpowiedź na następne żądanie połączenia.
Mint utrzymuje także połączenie otwarte po odpowiedzi HTTP/1.0, final lub 1xx, która zawiera kodowanie transferu i połączenie: keep-alive. RFC 9112, sekcja 6.1, wymaga traktowania ramki takiej wiadomości jako błędnej i zamykania połączenia po niej, więc bajty po jej podzielonej treści są analizowane w ten sam sposób jako odpowiedź na następne żądanie.
Ten problem dotyczy mennicy: od 0.1.0 do 1.11.0.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-94194.html
- https://github.com/elixir-mint/mint/commit/2ec8b696b5475ecbdaa87c0098957bca339e17c0
- https://github.com/elixir-mint/mint/commit/60089586ec7adc9fddb09f69a2f5919ba9ac7f33
- https://github.com/elixir-mint/mint/security/advisories/GHSA-gvrc-75rc-7gj9
- https://osv.dev/vulnerability/EEF-CVE-2026-94194
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org