CVE-2026-68750

Zusammenfassung

# Schwachstelle durch ineffiziente algorithmische Komplexität Eine Schwachstelle durch ineffiziente algorithmische Komplexität in der Traversal-Engine von rrrene html_sanitize_ex ermöglicht es einem nicht authentifizierten Remote-Angreifer, Server-CPU und -Speicher durch eine flache Abfolge von Geschwisterelementen in bereinigtem HTML zu erschöpfen. Die Listenklausel von `HtmlSanitizeEx.Traverser.traverse/2` rekursiert auf dem Ende einer Geschwisterliste und wertet anschließend `List.flatten([head] ++ tail)` über das bereits abgeflachte Ergebnis aus, sodass jedes von n Geschwistern das gesamte verbleibende Ende kopiert und erneut durchläuft. Die Abflachung wird nur für den seltenen Fall benötigt, in dem `scrub` mehrere Ersatzknoten für einen Knoten zurückgibt, aber die Kosten werden bei jedem Schritt über das gesamte Ende hinweg bezahlt, was die Traversal quadratisch in der Anzahl der Geschwister macht. Der Traverser sitzt an jedem öffentlichen Einstiegspunkt, sodass kein spezieller Scrubber oder eine besondere Konfiguration erforderlich ist und der Payload nur erlaubte Tags benötigt. Ein 160 KB großer Body mit 20.000 Geschwisterelementen beansprucht einen Scheduler für etwa 1,7 Sekunden, und die Kosten wachsen schneller als der Body. Dieses Problem betrifft html_sanitize_ex: von 0.3.1 vor 1.4.5 und von 1.5.0-rc.0 vor 1.5.3.

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  PoC, der eine quadratische DoS in Elixir html_sanitize_ex über präpariertes HTML demonstriert; enthält Timing-Benchmarks, Remote-Exploitation per curl und Verifizierung gegen gepatchte Versionen.