CVE-2026-68749

ملخص

# ثغرة تعقيد التعبير النمطي غير الفعّال في html_sanitize_ex ثغرة تعقيد التعبير النمطي غير الفعّال (Inefficient Regular Expression Complexity) في مُنظّف CSS في مكتبة `html_sanitize_ex` الخاصة بـ `rrrene` تسمح لمهاجم خارجي غير مُصادَق باستنزاف وحدة المعالجة المركزية (CPU) للخادم عبر إعلان CSS طويل في HTML مُنظّف. يطابق التعبير النمطي للإعلان في `HtmlSanitizeEx.Scrubber.CSS.scrub/1` اسم الخاصية باستخدام نمط جشع غير محدود `[-\w]+` يتبعه `:` إلزامية، لذا فإن سلسلة طويلة من الأحرف الكلمية غير متبوعة بنقطتين تجعل المحرك يتراجع حرفًا واحدًا في كل مرة ويعيد محاولة مطابقة النقطتين عند كل موضع بداية. يكون العمل تربيعيًا في طول السلسلة، ولا يتم تطبيق حد أقصى للطول على CSS المُمرَّر إلى المُنظّف. يكلف `<style>` بحجم 80 كيلوبايت حوالي 2.4 ثانية من وقت الجدولة، لذا فإن بضعة طلبات متزامنة تُشبع تجمّع جدولة BEAM وتجعل التطبيق غير مستجيب. الأثر يقتصر على استنزاف وحدة المعالجة المركزية فقط. لا يتم قراءة أي شيء أو تعديله أو الكشف عنه. تؤثر هذه المشكلة على `html_sanitize_ex`: من الإصدار 0.3.1 قبل 1.4.5 ومن 1.5.0-rc.0 قبل 1.5.3.

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  إثبات المفهوم (PoC) الذي يوضح هجوم حجب الخدمة (DoS) التربيعي في مكتبة Elixir html_sanitize_ex عبر HTML مُصمَّم خصيصًا؛ يتضمن قياسات زمنية للأداء، وأوامر curl للاستغلال عن بُعد، والتحقق من الإصدارات المُصحَّحة.