CVE-2026-48598

elixir-tesla tesla komponentindəki çıxışın yanlış kodlaşdırılması və ya qaçırılması (Improper Encoding or Escaping of Output) zəifliyi, qaçırılmamış Content-Disposition parametr dəyərləri vasitəsilə multipart hissəsinin başlıq inyeksiyasına (header injection) şərait yaradır. Tesla.Multipart.part_headers_for_disposition/1 funksiyası hər bir disposition parametrini CR (\r), LF (\n) və ya qoşa dırnaq simvollarını yoxlamadan #{k}="#{v}" şəklində interpolasiya edir. Dəyərlər çağırıcı tərəfdən Tesla.Multipart.add_field/4 (name parametri), Tesla.Multipart.add_file/3 və Tesla.Multipart.add_file_content/4 (həm filename parametri, həm də digər disposition seçimləri) vasitəsilə olduğu kimi ötürülür. Dəyərdəki " işarəsi dırnaqdaxili parametri vaxtından əvvəl bağlayır; \r\n isə Content-Disposition başlıq sətrini bitirib yeni hissə başlığı (məsələn, saxtalaşdırılmış Content-Type) başladır və ya ikinci \r\n-dən sonra bütün hissə başlıq blokunu bitirərək hissə gövdəsinə baytlar əlavə edir. add_file/3 funksiyasındakı default-filename yolu fayl adını Path.basename/1 vasitəsilə əldə edir ki, bu da CR və ya LF simvollarını silmir, buna görə də hücumçu tərəfindən qismən idarə olunan fayl yolunu yönləndirən hər hansı tətbiq eyni problemə məruz qalır. Bu problem tesla: 0.8.0 versiyasından 1.18.3 versiyasına qədər olan versiyalara təsir edir.