CVE-2026-39804
Che cos'è CVE-2026-39804?
La vulnerabilità di allocazione di risorse senza limiti o limitazione in mtrudel bandit consente un Denial of Service remoto non autenticato tramite l'esaurimento della memoria quando la compressione WebSocket permessage-deflate è abilitata. 'Elixir.Bandit.WebSocket.PerMessageDeflate':inflate/2 in lib/bandit/websocket/permessage_deflate.ex chiama :zlib.inflate/2 senza limite di dimensione di output, quindi materializza l'intero payload decompresso come un singolo binario tramite IO.iodata_to_binary/1. L'opzione websocket_options.max_frame_size limita solo la dimensione del frame in transito (compresso), non l'output decompresso. Un comp. ad alto rapporto
FAQ
CVE-2026-39804 ha un punteggio CVSS di N/D/10, classificato come Sconosciuto. Consultare l'elenco dei prodotti interessati e applicare le patch del fornitore.
Il CVSS (Common Vulnerability Scoring System) valuta la gravità delle vulnerabilità da 0,0 a 10,0. CVE-2026-39804 ottiene N/D/10 (Sconosciuto). Punteggi da 9,0–10,0 sono Critici, 7,0–8,9 Alti, 4,0–6,9 Medi e sotto 4,0 Bassi.
L'elenco dei dispositivi confermati come interessati da CVE-2026-39804 è mostrato nella sezione "Dispositivi interessati" sopra. Confronta la versione del tuo firmware con l'avviso di sicurezza del fornitore e applica l'ultima patch.
Applica l'ultimo aggiornamento firmware o software del fornitore. Controlla la sezione Riferimenti sopra per avvisi ufficiali e note di patch. Se non è disponibile alcuna patch, considera di disabilitare la funzione interessata o isolare il dispositivo da reti non attendibili.