CVE-2026-113436

mtrudel bandit-in başlıq tam ədəd analizatorunda (header integer parser) mövcud olan Səmərəsiz Alqoritmik Mürəkkəblik zəifliyi, autentifikasiya olunmamış uzaq hücumçuya minlərlə rəqəmdən ibarət content-length dəyəri və ya Host yaxud :authority portu vasitəsilə serverin CPU resurslarını tükətməyə imkan verir. lib/bandit/headers.ex faylındakı Bandit.Headers.parse_integer/2 funksiyası rəqəmlərin sayına heç bir məhdudiyyət qoymadan ədədi hər dəfə bir rəqəm əlavə etməklə qurur və hər addımda yeni bignum ayırır, buna görə də bir dəyərin emalı onun uzunluğuna nisbətdə kvadratik zaman tələb edir. Bu proses hər hansı diapazon yoxlamasından əvvəl, HTTP/1 və HTTP/2 üzərindən gələn xam sorğu girişlərində icra olunur. HTTP/2 üzərindən 4,000 rəqəmli dəyər bir dəfə HPACK dinamik cədvəlində saxlanıla və hər yeni axın (stream) üçün təxminən bir bayt olmaqla yenidən göndərilə bilər: 124 KB trafik serveri 27.9 saniyə məşğul saxlayıb. Bu problem bandit-in 1.0.0-pre.7 versiyasından 1.14.0 versiyasına qədər olan hissəsinə təsir edir.