CVE-2026-32688

elixir-plug plug_cowboy komponentindəki Resursların Limitlərsiz və ya Tənzimləməsiz Ayırılması zəifliyi, atom cədvəlinin doldurulması vasitəsilə autentifikasiya olunmamış uzaqdan xidmətdən imtina (DoS) hücumuna şərait yaradır. lib/plug/cowboy/conn.ex faylındakı Plug.Cowboy.Conn.conn/1 funksiyası :cowboy_req.scheme/1 tərəfindən qaytarılan dəyər üzərində String.to_atom/1 funksiyasını çağırır. HTTP/2 bağlantıları üçün cowlib klient tərəfindən təmin edilən :scheme psevdo-başlıq dəyərini heç bir yoxlama aparmadan olduğu kimi ötürür. Hər bir unikal dəyər BEAM atom cədvəlində daimi olaraq yeni bir giriş ayırır. Atomlar heç vaxt "garbage collection" prosesinə məruz qalmadığı və atom cədvəlinin sabit limiti (defolt olaraq 1,048,576) olduğu üçün, autentifikasiya olunmamış hücumçu unikal :scheme dəyərləri olan HTTP/2 sorğuları göndərərək cədvəli doldura bilər ki, bu da Erlang VM-nin system_limit xətası ilə dayanmasına və bütün nodun sıradan çıxmasına səbəb olar. Bu zəiflik HTTP/1.1 versiyasına təsir etmir, çünki orada cowboy sxemi klient tərəfindən təmin edilən başlıqdan deyil, dinləyici tipindən törədir. Bu problem plug_cowboy: 2.0.0 versiyasından 2.8.1 versiyasına qədər olan versiyalara təsir edir.