CVE-2026-68749

Resumo

Vulnerabilidade de Complexidade de Expressão Regular Ineficiente no depurador de CSS em rrrene html_sanitize_ex permite que um atacante remoto não autenticado esgote a CPU do servidor por meio de uma declaração CSS longa em HTML sanitizado. A regex de declaração em HtmlSanitizeEx.Scrubber.CSS.scrub/1 corresponde ao nome da propriedade com um ganancioso [-\w]+ sem limite, seguido por um : obrigatório, então uma longa sequência de caracteres de palavra não seguida por dois-pontos faz o mecanismo devolver um caractere por vez e tentar o dois-pontos novamente em cada deslocamento inicial. O trabalho é quadrático em relação ao comprimento da sequência, e nenhum limite de comprimento é aplicado ao CSS entregue ao depurador. Um <style> body de 80 KB custa aproximadamente 2,4 segundos de tempo de agendador, então algumas solicitações concorrentes saturam o pool do agendador BEAM e tornam o aplicativo sem resposta. O impacto é apenas esgotamento de CPU. Nada é lido, modificado ou divulgado. Este problema afeta html_sanitize_ex: de 0.3.1 antes de 1.4.5 e de 1.5.0-rc.0 antes de 1.5.3.

Fontes

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  PoC demonstrando DoS quadrático no Elixir html_sanitize_ex via HTML maliciosamente elaborado; inclui benchmarks de tempo, exploração remota via curl e verificação contra versões corrigidas.