CVE-2026-49755

wojtekmach Req içerisindeki Yüksek Sıkıştırılmış Verilerin Hatalı İşlenmesi (Veri Amplifikasyonu) zafiyeti, saldırgan tarafından kontrol edilen HTTP sunucularının, sıkıştırma bombası içeren yanıt gövdeleri aracılığıyla bir Req istemcisinde belleği tüketmesine olanak tanır. Req'in varsayılan yanıt hattı, lib/req/steps.ex dosyasındaki Req.Steps.decode_body/1 ve Req.Steps.decompress_body/1 adımlarını içerir. decode_body/1, sunucu tarafından sağlanan content-type değerine (veya URL uzantısına) göre işlem yapar ve application/zip için :zip.extract(body, [:memory]), application/x-tar için :erl_tar.extract({:binary, body}, [:memory]) ve application/gzip / .tgz için :erl_tar.extract({:binary, body}, [:memory, :compressed]) fonksiyonlarını çağırır. Her biri, giriş başına veya toplam boyut sınırı olmaksızın, açılmış arşiv içeriğinin tamamını bellekte bir [{name, bytes}] listesi olarak döndürür. decompress_body/1 ise content-encoding başlığını takip eder ve :zlib/:brotli/:ezstd çözücülerini zincirler; bu nedenle content-encoding: gzip, gzip, gzip şeklinde belirtilen bir yanıt, sınırsız bir şekilde birden fazla katman boyunca genişletilir. Her iki adım da varsayılan olarak etkindir, çağıran tarafın onayına gerek yoktur ve saldırgan kendi sunucusundaki (veya Req'in otomatik yönlendirme takibiyle ulaşılan herhangi bir ana bilgisayardaki) content-type ve content-encoding başlıklarını kontrol edebilir. Bir megabayttan küçük bir yanıt, kurban üzerinde birkaç gigabayta kadar genişleyerek BEAM işleminin çökmesine neden olabilir. Bu sorun, 0.1.0 ile 0.6.1 arasındaki req sürümlerini etkilemektedir.