CVE-2026-68750

ملخص

# ثغرة التعقيد الخوارزمي غير الفعّال في محرك الاجتياز في rrrene html_sanitize_ex تسمح ثغرة التعقيد الخوارزمي غير الفعّال في محرك الاجتياز في rrrene html_sanitize_ex لمهاجم عن بُعد غير مصادَق باستنزاف وحدة المعالجة المركزية والذاكرة في الخادم عبر سلسلة مسطّحة من العناصر الشقيقة في HTML المُنقّى. تقوم جملة القائمة في `HtmlSanitizeEx.Traverser.traverse/2` بالتكرار على ذيل قائمة الأشقاء ثم تقيّم `List.flatten([head] ++ tail)` على النتيجة المُسطّحة بالفعل، لذا فإن كل عنصر من عناصر n الشقيقة ينسخ ويعيد اجتياز الذيل المتبقي بالكامل. التسطيح مطلوب فقط للحالة النادرة التي يُرجع فيها scrub عدة عُقد بديلة لعقدة واحدة، لكن التكلفة تُدفع عبر الذيل بأكمله في كل خطوة، مما يجعل الاجتياز تربيعيًا في عدد الأشقاء. يقع الاجتياز على كل نقطة دخول عامة، لذا لا يلزم أي مُنقٍّ أو إعداد معيّن، ولا تحتاج الحمولة سوى وسوم مسموحة. جسم بحجم 160 كيلوبايت يحتوي على 20,000 عنصر شقيق يشغل المجدول لمدة 1.7 ثانية تقريبًا، وتنمو التكلفة أسرع من نمو الجسم. تؤثر هذه الثغرة على html_sanitize_ex: من 0.3.1 قبل 1.4.5 ومن 1.5.0-rc.0 قبل 1.5.3.

المصادر

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  إثبات المفهوم (PoC) الذي يوضح هجوم حجب الخدمة (DoS) التربيعي في مكتبة Elixir html_sanitize_ex عبر HTML مُصمَّم خصيصًا؛ يتضمن قياسات زمنية للأداء، وأوامر curl للاستغلال عن بُعد، والتحقق من الإصدارات المُصحَّحة.