CVE-2026-48594

elixir-tesla tesla bileşenindeki Yüksek Sıkıştırılmış Verilerin Hatalı İşlenmesi (Veri Amplifikasyonu) zafiyeti, HTTP yanıt gövdelerindeki sıkıştırma bombası aracılığıyla hizmet reddine (DoS) olanak tanır. Tesla.Middleware.DecompressResponse veya Tesla.Middleware.Compression bir Tesla ara katman yazılımı hattına dahil edildiğinde, HTTP yanıt gövdeleri herhangi bir boyut sınırı olmaksızın aceleyle sıkıştırılır. lib/tesla/middleware/compression.ex dosyasındaki decompress_body/2 fonksiyonu, çıktı boyutu üzerinde herhangi bir sınır olmadan tüm yanıt gövdesini :zlib.gunzip/1 veya :zlib.unzip/1 fonksiyonuna iletir. Ek olarak, compression_algorithms/1 fonksiyonu content-encoding başlığını virgüllere göre ayırır ve decompress_body/2 her belirteç için bir kez özyineleme yaparak her yinelemede bir sıkıştırmayı açma işlemi uygular. content-encoding: gzip, gzip, gzip, gzip şeklinde reklam yapan bir sunucu, dört özyinelemeli sıkıştırmayı açma işlemine neden olur ve bu da üstel amplifikasyona yol açar: her gzip katmanı girdisini yaklaşık 1000 kat genişletebilir, böylece ağ üzerindeki birkaç yüz baytlık bir yük, gigabaytlarca BEAM yığınına şişerek belleği tüketir ve çağıran işlemin çökmesine veya donmasına neden olur. Bu sorun, 0.6.0'dan 1.18.3 öncesine kadar olan tesla sürümlerini etkilemektedir.