CVE-2026-68749

Resumen

Vulnerabilidad de complejidad de expresión regular ineficiente en el limpiador de CSS en rrrene html_sanitize_ex permite a un atacante remoto no autenticado agotar la CPU del servidor mediante una declaración CSS larga en HTML saneado. La expresión regular de declaración en HtmlSanitizeEx.Scrubber.CSS.scrub/1 coincide con el nombre de la propiedad con un codicioso sin límite [-\w]+ seguido de un : obligatorio, por lo que una larga secuencia de caracteres de palabra no seguida de dos puntos hace que el motor devuelva un carácter a la vez y reintente los dos puntos en cada desplazamiento inicial. El trabajo es cuadrático en la longitud de la secuencia, y no se aplica ningún límite de longitud al CSS entregado al limpiador. Un <style> body de 80 KB cuesta aproximadamente 2,4 segundos de tiempo de programador, por lo que unas pocas solicitudes concurrentes saturan el grupo de programadores BEAM y hacen que la aplicación no responda. El impacto es solo agotamiento de CPU. No se lee, modifica ni divulga nada. Este problema afecta a html_sanitize_ex: desde 0.3.1 antes de 1.4.5 y desde 1.5.0-rc.0 antes de 1.5.3.

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  PoC que demuestra un DoS cuadrático en Elixir html_sanitize_ex mediante HTML elaborado; incluye benchmarks de tiempo, explotación remota con curl y verificación contra versiones parcheadas.