CVE-2026-39804

mtrudel bandit içerisindeki Sınırlandırılmamış veya Kontrol Edilmemiş Kaynak Tahsisi zafiyeti, WebSocket permessage-deflate sıkıştırması etkin olduğunda, bellek tüketimi yoluyla kimlik doğrulaması gerektirmeyen uzaktan hizmet reddine (DoS) olanak tanır. lib/bandit/websocket/permessage_deflate.ex dosyasındaki 'Elixir.Bandit.WebSocket.PerMessageDeflate':inflate/2 fonksiyonu, herhangi bir çıktı boyut sınırı olmaksızın :zlib.inflate/2 fonksiyonunu çağırır ve ardındanle tümle sıkıştırılmış veriyi IO.iodata_to_binary/1 aracılığıyla tek bir ikili veri olarak somutlaştırır. websocket_options.max_frame_size seçeneği yalnızca hat üzerindeki (sıkıştırılmış) çerçeve boyutunu sınırlandırır, sıkıştırılmış çıktıyı değil. Yüksek oranlı sıkıştırılmış bir çerçeve (örneğin ~1024:1 oranında tekdüze veri), herhangi bir hat boyutu sınırının altında kalırken, uygulama kodu çalışmadan önce bağlantı sürecinde GiB ölçeğinde yığın tahsislerini zorlayabilir. WebSocket bağlantısı açabilen kimlik doğrulanmamış bir saldırgan, BEAM düğümünün belleğini tüketmek ve bir OOM öldürmesini tetiklemek için böyle tek bir çerçeve gönderebilir. Bu zafiyet, hem Bandit'in sunucu düzeyindeki websocket_options.compress seçeneğinin hem de WebSockAdapter.upgrade/4 fonksiyonuna iletilen her yükseltmeye özel compress: true seçeneğinin etkin olmasını gerektirir. Varsayılan olarak compress: false değerini kullanan standart Phoenix ve LiveView uygulamaları etkilenmemektedir. Bu sorun, 0.5.9 sürümünden 1.11.0 öncesine kadar olan bandit sürümlerini etkilemektedir.