CVE-2026-104635

elixir-protobuf protobuf içerisindeki Protobuf.JSON.Decode bileşeninde bulunan Kontrolsüz Özyineleme zafiyeti, kimlik doğrulaması yapmamış bir uzak saldırganın derinlemesine iç içe geçmiş bir JSON belgesi aracılığıyla çözümleme işlemini çökertmesine olanak tanır. Saldırgan tarafından sağlanan JSON verilerini Protobuf.JSON.decode/3, Protobuf.JSON.decode!/3 veya Protobuf.JSON.from_decoded/3 ile kendi kendine referans veren veya döngüsel bir mesaj türü içeren bir şemaya çözümleyen tüm uygulamalar etkilenmektedir. lib/protobuf/json/decode.ex dosyasında, decode_singular/3 fonksiyonunun embedded-message yan cümleciği, çözücü derinlik sayacını artırmadan veya kontrol etmeden her iç içe geçme seviyesi için internal_from_json_data/3 fonksiyonuna özyinelemeli olarak girer. Derinlik koruması sağlayan increase_depth_and_maybe_throw/1 fonksiyonu yalnızca Google.Protobuf.ListValue ve Google.Protobuf.Struct yan cümleciklerini kapsadığından, recursion_limit seçeneğinin kullanıcı tanımlı mesaj türleri üzerinde hiçbir etkisi yoktur. Her iç içe geçme seviyesi bir yığın çerçevesi (stack frame) ve yığın nesneleri ayırır; yeterince derin bir belge, çözümleme işleminin belleğini tüketir. Gizlilik ve bütünlük etkilenmemektedir. Bu sorun şu sürümleri etkilemektedir: 0.8.0'dan 0.17.1 öncesine kadar olan protobuf sürümleri.