CVE-2026-32688

elixir-plug plug_cowboy bileşenindeki Sınırlandırılmamış veya Kontrolsüz Kaynak Tahsisi zafiyeti, atom tablosunun tüketilmesi yoluyla kimlik doğrulaması yapılmamış uzaktan hizmet reddine (DoS) olanak tanır. lib/plug/cowboy/conn.ex dosyasındaki Plug.Cowboy.Conn.conn/1 fonksiyonu, :cowboy_req.scheme/1 tarafından döndürülen değer üzerinde String.to_atom/1 işlemini çağırır. HTTP/2 bağlantıları için cowlib, istemci tarafından sağlanan :scheme sözde başlık (pseudo-header) değerini herhangi bir doğrulama yapmadan olduğu gibi iletir. Her benzersiz değer, BEAM atom tablosunda kalıcı olarak yeni bir giriş tahsis eder. Atomlar hiçbir zaman çöp toplayıcı (garbage collector) tarafından temizlenmediği ve atom tablosunun sabit bir sınırı olduğu için (varsayılan 1.048.576), kimlik doğrulaması yapmamış bir saldırgan, benzersiz :scheme değerlerine sahip HTTP/2 istekleri göndererek tabloyu tüketebilir; bu durum Erlang VM'nin system_limit hatasıyla durmasına ve tüm düğümün (node) çökmesine neden olur. Bu zafiyet, cowboy'un şemayı istemci tarafından sağlanan bir başlıktan ziyade dinleyici türünden türettiği HTTP/1.1 protokolünü etkilemez. Bu sorun, 2.0.0 sürümünden 2.8.1 öncesine kadar olan plug_cowboy sürümlerini etkilemektedir.