CVE-2026-68749

Résumé

# Vulnérabilité de complexité d'expression régulière inefficace dans le scrubber CSS de html_sanitize_ex Une vulnérabilité de complexité d'expression régulière inefficace dans le scrubber CSS de `html_sanitize_ex` de rrrene permet à un attaquant distant non authentifié d'épuiser le CPU du serveur via une longue déclaration CSS dans du HTML assaini. L'expression régulière de déclaration dans `HtmlSanitizeEx.Scrubber.CSS.scrub/1` fait correspondre le nom de la propriété avec un `[-\w]+` gourmand sans limite, suivi d'un `:` obligatoire. Ainsi, une longue suite de caractères alphabétiques non suivie de deux-points oblige le moteur à restituer un caractère à la fois et à réessayer le deux-points à chaque position de départ. Le travail est quadratique par rapport à la longueur de la suite, et aucune limite de longueur n'est appliquée au CSS transmis au scrubber. Un `<style>` de 80 Ko coûte environ 2,4 secondes de temps de planification, de sorte que quelques requêtes simultanées saturent le pool du planificateur BEAM et rendent l'application non réactive. L'impact se limite à l'épuisement du CPU. Rien n'est lu, modifié ou divulgué. Ce problème affecte html_sanitize_ex : de 0.3.1 avant 1.4.5 et de 1.5.0-rc.0 avant 1.5.3.

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  PoC démontrant une DoS quadratique dans html_sanitize_ex d'Elixir via un HTML spécialement conçu ; inclut des benchmarks de temps d'exécution, une exploitation à distance via curl, et une vérification par rapport aux versions corrigées.