CVE-2026-68749

Riepilogo

# Vulnerabilità di complessità inefficiente delle espressioni regolari nello scrubber CSS in rrrene html_sanitize_ex La vulnerabilità di complessità inefficiente delle espressioni regolari nello scrubber CSS in rrrene html_sanitize_ex consente a un attaccante remoto non autenticato di esaurire la CPU del server tramite una lunga dichiarazione CSS in HTML sanificato. L'espressione regolare delle dichiarazioni in `HtmlSanitizeEx.Scrubber.CSS.scrub/1` confronta il nome della proprietà con un greedy illimitato `[-\w]+` seguito da un `:` obbligatorio, quindi una lunga sequenza di caratteri alfanumerici non seguita da due punti fa sì che il motore restituisca un carattere alla volta e ritenti i due punti a ogni offset iniziale. Il lavoro è quadratico rispetto alla lunghezza della sequenza e non viene applicato alcun limite di lunghezza al CSS passato allo scrubber. Un `<style>` body di 80 KB costa circa 2,4 secondi di tempo di scheduler, quindi poche richieste concorrenti saturano il pool dello scheduler BEAM e rendono l'applicazione non reattiva. L'impatto è esclusivamente l'esaurimento della CPU. Non viene letto, modificato o divulgato nulla. Questa problematica riguarda html_sanitize_ex: dalla versione 0.3.1 precedente alla 1.4.5 e dalla 1.5.0-rc.0 precedente alla 1.5.3.

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  PoC che dimostra un DoS quadratico in Elixir html_sanitize_ex tramite HTML appositamente creato; include benchmark temporali, curl per lo sfruttamento remoto e verifica rispetto alle versioni corrette.