CVE-2026-48598

elixir-tesla tesla bileşenindeki Çıktının Hatalı Kodlanması veya Kaçırılması (Improper Encoding or Escaping of Output) zafiyeti, kaçırılmamış Content-Disposition parametre değerleri aracılığıyla multipart bölüm başlığı enjeksiyonuna izin verir. Tesla.Multipart.part_headers_for_disposition/1 fonksiyonu, her bir disposition parametresini CR (\r), LF (\n) veya çift tırnak karakterlerini doğrulamadan #{k}="#{v}" şeklinde ara değerleştirir. Değerler; Tesla.Multipart.add_field/4 (name parametresi), Tesla.Multipart.add_file/3 ve Tesla.Multipart.add_file_content/4 (hem filename parametresi hem de diğer disposition seçenekleri) üzerinden çağıran tarafından olduğu gibi iletilir. Değerdeki bir " karakteri, tırnak içindeki parametreyi erken kapatır; bir \r\n ise Content-Disposition başlık satırını sonlandırıp yeni bir bölüm başlığı başlatır (sahte bir Content-Type gibi) veya ikinci bir \r\n sonrası tüm bölüm başlık bloğunu sonlandırarak bölüm gövdesinin başına baytlar ekler. add_file/3 içerisindeki default-filename yolu, dosya adını CR veya LF karakterlerini temizlemeyen Path.basename/1 aracılığıyla türetir; bu nedenle kısmen saldırgan kontrollü bir dosya yolunu ileten herhangi bir uygulama aynı sorunu devralır. Bu sorun, 0.8.0'dan 1.18.3 öncesine kadar olan tesla sürümlerini etkilemektedir.