CVE-2026-39804

mtrudel bandit proqramındakı Resursların Limitlənmədən və ya Tənzimlənmədən Ayırılması zəifliyi, WebSocket permessage-deflate sıxılmasının aktiv olduğu halda yaddaşın tükənməsi vasitəsilə autentifikasiya olunmamış uzaqdan xidmətdən imtina (DoS) hücumuna şərait yaradır. lib/bandit/websocket/permessage_deflate.ex faylındakı 'Elixir.Bandit.WebSocket.PerMessageDeflate':inflate/2 funksiyası çıxış ölçüsü limiti olmadan :zlib.inflate/2 funksiyasını çağırır, daha sonra bütün sıxılmış məlumatı IO.iodata_to_binary/1 vasitəsilə tək bir binar kimi formalaşdırır. websocket_options.max_frame_size seçimi yalnız ötürülən (sıxılmış) freymin ölçüsünü məhdudlaşdırır, dekompressiya edilmiş çıxışı yox. Yüksək nisbətli sıxılmış freym (məsələn, ~1024:1 nisbətində eynicinsli məlumatlar) hər hansı ötürmə ölçüsü limitindən aşağı qaldığı halda, hələ tətbiq kodu işə düşməmişdən əvvəl bağlantı prosesində GiB miqyasında heap ayırmalarına səbəb ola bilər. WebSocket bağlantısı aça bilən autentifikasiya olunmamış hücumçu, BEAM düyünün yaddaşını tükətmək və OOM kill prosesini tetikləmək üçün belə bir tək freym göndərə bilər. Bu zəiflik həm Bandit-in server səviyyəsindəki websocket_options.compress, həm də WebSockAdapter.upgrade/4 funksiyasına ötürülən per-upgrade compress: true seçiminin aktiv olmasını tələb edir. Standart Phoenix və LiveView tətbiqləri buna təsir etmir, çünki onlar standart olaraq compress: false istifadə edirlər. Bu problem bandit versiyaları üçün aktualdır: 0.5.9-dan başlayaraq 1.11.0 versiyasına qədər.