CVE-2026-32689

phoenixframework phoenix-də Resursların Limitlərsiz və ya Tənzimləməsiz Ayrılması zəifliyi, long-poll transportunun NDJSON gövdəsinin emalı vasitəsilə xidmətdən imtinaya (DoS) şərait yaradır. 'Elixir.Phoenix.Transports.LongPoll':publish/4 funksiyasında, Content-Type: application/x-ndjson olan POST sorğusu alındıqda, sorğu gövdəsi String.split/2 istifadə edilərək yeni sətir simvolları əsasında bölünür və nəticədə yaranan seqmentlərin sayına heç bir limit tətbiq edilmir. Hücumçu tamamilə yeni sətir baytlarından ibarət gövdə göndərə bilər ki, bu da boş binari siyahısına 1:1 gücləndirməyə səbəb olur — 1 MB həcmli gövdə təxminən bir milyon siyahı elementi, 8 MB həcmli gövdə isə təxminən 8.4 milyon element yaradır. Daha sonra hər bir element Enum.map tərəfindən emal edilir və eyni ölçüdə digər bir siyahı formalaşdırılır. Bu, BEAM yaddaşını və planlayıcılarını tükədir, nodu çökdürür və bütün aktiv sessiyaları sonlandırır. Zəiflik olan son nöqtəyə (endpoint) çatmaq üçün tələb olunan sessiya tokeni, uyğun Origin başlığı ilə eyni URL-ə göndərilən autentifikasiya olunmamış GET sorğusu vasitəsilə istənilən müştəri tərəfindən asanlıqla əldə edilə bilər, bu da hücumu effektiv şəkildə autentifikasiyasız edir. Bu problem phoenix-in 1.7.0-dan 1.7.22-dək və 1.8.6 versiyalarını əhatə edir.