CVE-2026-48853
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 — wyżej niż 43% wszystkich znanych CVE
Streszczenie
W elixir-grpc występują podatności związane z deserializacją nieufnych danych oraz alokacją zasobów bez ograniczeń, które pozwalają nieautoryzowanym atakującym na zablokowanie węzła BEAM poprzez wyczerpanie tabeli atomów oraz na zdalne wykonanie kodu na serwerze.
Ocena ryzyka
Atakujący mogą wykorzystać te podatności do przejęcia kontroli nad serwerem, co prowadzi do poważnych konsekwencji dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację elixir-grpc do wersji 1.0.0 lub nowszej oraz wdrożenie mechanizmów autoryzacji, aby zminimalizować ryzyko nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data and Allocation of Resources Without Limits or Throttling vulnerabilities in elixir-grpc grpc allow unauthenticated attackers to crash the BEAM node via atom table exhaustion and, when a decoded term flows into a call site that invokes it, achieve remote code execution on the server. 'Elixir.GRPC.Codec.Erlpack':decode/2 (lib/grpc/codec/erlpack.ex) calls :erlang.binary_to_term/1 on the raw gRPC message body without the :safe option, no size bound, and no type guard. Any unauthenticated peer that sends a request with Content-Type: application/grpc+erlpack can send a crafted payload that mints arbitrary new atoms (which are never garbage-collected, exhausting the bounded atom table and crashing the VM) or that encodes a fun term which, if applied anywhere downstream, executes attacker-controlled code inside the server process. This issue affects grpc from 0.4.0 before 1.0.0.