CVE-2026-68749

概要

# 非効率な正規表現の複雑性の脆弱性（rrrene html_sanitize_ex の CSS スクラバー） rrrene html_sanitize_ex の CSS スクラバーにおける非効率な正規表現の複雑性の脆弱性により、認証されていないリモート攻撃者が、サニタイズされた HTML 内の長い CSS 宣言を通じてサーバーの CPU を枯渇させることが可能です。`HtmlSanitizeEx.Scrubber.CSS.scrub/1` 内の宣言用正規表現は、プロパティ名を無制限の貪欲な `[-\w]+` でマッチさせ、その後に必須の `:` が続くため、コロンが続かない長い単語文字の連続があると、エンジンは一度に1文字ずつ文字を戻し、すべての開始オフセットでコロンを再試行します。この処理は連続文字列の長さに対して2乗の計算量となり、スクラバーに渡される CSS には長さの上限が適用されません。80 KB の `<style>` 本文は約2.4秒のスケジューラ時間を消費するため、数件の同時リクエストで BEAM スケジューラプールが飽和し、アプリケーションが応答不能になります。影響は CPU の枯渇のみです。データの読み取り、変更、開示は一切行われません。この問題は html_sanitize_ex の 0.3.1 から 1.4.5 未満、および 1.5.0-rc.0 から 1.5.3 未満に影響します。

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  細工されたHTMLを介してElixirのhtml_sanitize_exにおける二次方的DoSを実証するPoC。タイミングベンチマーク、リモートエクスプロイト用のcurl、パッチ適用済みバージョンに対する検証を含む。