CVE-2026-68750

Резюме

Уязвимость неэффективной алгоритмической сложности в движке обхода в rrrene html_sanitize_ex позволяет неаутентифицированному удалённому злоумышленнику исчерпать ресурсы CPU и памяти сервера с помощью плоского набора родственных элементов в санитизированном HTML. Пункт списка в HtmlSanitizeEx.Traverser.traverse/2 рекурсивно обрабатывает хвост списка родственных элементов, а затем вычисляет List.flatten([head] ++ tail) по уже уплощённому результату, поэтому каждый из n родственных элементов копирует и заново обходит весь оставшийся хвост. Уплощение требуется только в редком случае, когда scrub возвращает несколько замещающих узлов для одного узла, но затраты оплачиваются на всём хвосте на каждом шаге, что делает обход квадратичным по количеству родственных элементов. Обходчик находится на каждой публичной точке входа, поэтому не требуется ни конкретного скраббера, ни конфигурации, а полезной нагрузке нужны только разрешённые теги. Тело размером 160 КБ с 20 000 родственных элементов занимает планировщик примерно на 1,7 секунды, и затраты растут быстрее, чем само тело. Эта проблема затрагивает html_sanitize_ex: с 0.3.1 до 1.4.5 и с 1.5.0-rc.0 до 1.5.3.

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  PoC, демонстрирующий квадратичный DoS в Elixir html_sanitize_ex через специально сформированный HTML; включает замеры времени выполнения, curl для удалённой эксплуатации и проверку на пропатченных версиях.