CVE-2026-104635

elixir-protobuf protobuf kitabxanasındakı Protobuf.JSON.Decode funksiyasında nəzarətsiz rekursiya zəifliyi, autentifikasiya olunmamış uzaqdakı hücumçunun dərin dərəcədə iç-içə yerləşdirilmiş JSON sənədi vasitəsilə dekodlaşdırma prosesini çökdürməsinə imkan verir. Hücumçu tərəfindən təqdim edilən JSON məlumatlarını Protobuf.JSON.decode/3, Protobuf.JSON.decode!/3 və ya Protobuf.JSON.from_decoded/3 funksiyaları ilə özünə istinad edən və ya siklik mesaj tipi olan sxemə dekodlaşdıran bütün tətbiqlər bu problemdən təsirlənir. lib/protobuf/json/decode.ex faylında, decode_singular/3 funksiyasının embedded-message bəndində hər bir iç-içəlik səviyyəsi üçün dekoderin dərinlik sayğacını artırmadan və ya yoxlamadan internal_from_json_data/3 funksiyasına rekursiv müraciət edilir. Dərinlik qoruyucusu olan increase_depth_and_maybe_throw/1 yalnız Google.Protobuf.ListValue və Google.Protobuf.Struct bəndlərini əhatə etdiyi üçün recursion_limit seçimi istifadəçi tərəfindən təyin edilmiş mesaj tiplərinə təsir göstərmir. Hər bir iç-içəlik səviyyəsi stek freymi və heap obyektləri ayırır və kifayət qədər dərin sənəd dekodlaşdırma prosesinin yaddaşını tükədir. Məlumatların məxfiliyinə və bütövlüyünə təsir göstərilmir. Bu problem protobuf versiyalarını təsirləndirir: 0.8.0-dan 0.17.1-ə qədər.