CVE-2026-68749

Резюме

Уязвимость неэффективной сложности регулярного выражения в CSS-скраббере в rrrene html_sanitize_ex позволяет неаутентифицированному удалённому злоумышленнику исчерпать ресурсы CPU сервера с помощью длинного CSS-объявления в санитизированном HTML. Регулярное выражение объявления в HtmlSanitizeEx.Scrubber.CSS.scrub/1 сопоставляет имя свойства с неограниченным жадным [-\w]+, за которым следует обязательное :, поэтому длинная последовательность буквенно-цифровых символов, за которой не следует двоеточие, заставляет движок возвращать по одному символу за раз и повторять попытку поиска двоеточия на каждой начальной позиции. Работа квадратична по длине последовательности, и к CSS, передаваемому скрабберу, не применяется ограничение длины. <style> body размером 80 КБ стоит примерно 2,4 секунды времени планировщика, поэтому несколько одновременных запросов насыщают пул планировщика BEAM и делают приложение неотзывчивым. Воздействие ограничивается только исчерпанием CPU. Ничего не считывается, не изменяется и не раскрывается. Эта проблема затрагивает html_sanitize_ex: с 0.3.1 до 1.4.5 и с 1.5.0-rc.0 до 1.5.3.

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  PoC, демонстрирующий квадратичный DoS в Elixir html_sanitize_ex через специально сформированный HTML; включает замеры времени выполнения, curl для удалённой эксплуатации и проверку на пропатченных версиях.