CVE-2026-68749

总结

# 低效正则表达式复杂度漏洞 rrrene html_sanitize_ex 中的 CSS 清理器存在低效正则表达式复杂度漏洞，允许未认证的远程攻击者通过向被清理的 HTML 中注入超长 CSS 声明来耗尽服务器 CPU。`HtmlSanitizeEx.Scrubber.CSS.scrub/1` 中的声明正则表达式使用无界贪婪的 `[-\w]+` 匹配属性名，后跟必需的 `:`，因此当一长串单词字符后没有冒号时，引擎会一次回退一个字符，并在每个起始偏移处重试匹配冒号。其计算复杂度与字符运行长度呈二次方关系，且传递给清理器的 CSS 没有长度上限。一个 80 KB 的 `<style>` 主体大约消耗 2.4 秒的调度器时间，因此少量并发请求即可使 BEAM 调度器池饱和，导致应用程序无响应。影响仅限于 CPU 耗尽，不会读取、修改或泄露任何数据。此问题影响 html_sanitize_ex：0.3.1 至 1.4.5 之前版本，以及 1.5.0-rc.0 至 1.5.3 之前版本。

• the-sanitizer-is-the-weapon-cve-2026-68749-cve-2026-68750-quadratic-dos-in-elixir-html-sanitize-exPoC

  PoC，演示通过精心构造的 HTML 对 Elixir html_sanitize_ex 造成二次方 DoS；包含计时基准、远程利用 curl，以及针对已修补版本的验证。