CVE-2026-39803

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-39803
Allocation of Resources Without Limits or Throttling vulnerability in mtrudel bandit allows unauthenticated remote denial of service via memory exhaustion. The chunked clause of 'Elixir.Bandit.HTTP1.Socket':read_data/2 in lib/bandit/http1/socket.ex ignores the caller-supplied :length option when reading HTTP/1 chunked request bodies. Instead of capping the accumulated body at the configured limit (e.g. Plug.Parsers' default 8 MB), do_read_chunked_data!/5 buffers every received chunk into an iolist unconditionally and materializes the entire body as a single binary. The function always returns {:ok, body, ...}, so callers cannot interpose a 413 response. Because Plug.Parsers runs before routing and authentication in the standard Phoenix endpoint, an unauthenticated attacker needs no valid route or credentials. Sending a single Transfer-Encoding: chunked POST request with an arbitrarily large body to any path causes the BEAM process to exhaust available memory and be terminated by the OS OOM killer. The content-length path in the same function correctly enforces the limit and is not affected. This issue affects bandit: from 1.4.0 before 1.11.1.

7.5 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 3.9 / Impact : 3.6

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact NONE

Integrity Impact NONE

Availability Impact HIGH

Scope UNCHANGED

References
Link Resource
https://cna.erlef.org/cves/CVE-2026-39803.html Third Party Advisory
https://github.com/mtrudel/bandit/commit/ae3520dfdbfab115c638f8c7f6f6b805db34e1ab Patch
https://github.com/mtrudel/bandit/security/advisories/GHSA-9q9q-324x-93r2 Exploit Vendor Advisory
https://osv.dev/vulnerability/EEF-CVE-2026-39803 Third Party Advisory
https://github.com/mtrudel/bandit/security/advisories/GHSA-9q9q-324x-93r2 Exploit Vendor Advisory
Configurations

Configuration 1 (hide)

cpe:2.3:a:mtrudel:bandit:*:*:*:*:*:*:*:*
History

26 Oct 2026, 14:10

Type Values Removed Values Added
Summary
  • (es) Vulnerabilidad de asignación de recursos sin límites ni limitación en mtrudel bandit permite la denegación de servicio remota no autenticada mediante el agotamiento de la memoria. La cláusula ’chunked’ de ’Elixir.Bandit.HTTP1.Socket’:read_data/2 en lib/bandit/http1/socket.ex ignora la opción :length proporcionada por el llamador al leer cuerpos de solicitud HTTP/1 ’chunked’. En lugar de limitar el cuerpo acumulado al límite configurado (por ejemplo, los 8 MB predeterminados de Plug.Parsers), do_read_chunked_data!/5 almacena en búfer cada fragmento recibido en una iolist incondicionalmente y materializa el cuerpo completo como un único binario. La función siempre devuelve {:ok, body, ...}, por lo que los llamadores no pueden interponer una respuesta 413. Debido a que Plug.Parsers se ejecuta antes del enrutamiento y la autenticación en el punto final estándar de Phoenix, un atacante no autenticado no necesita una ruta o credenciales válidas. El envío de una única solicitud POST ’Transfer-Encoding: chunked’ con un cuerpo arbitrariamente grande a cualquier ruta hace que el proceso BEAM agote la memoria disponible y sea terminado por el ’OOM killer’ del sistema operativo. La ruta ’content-length’ en la misma función aplica correctamente el límite y no se ve afectada. Este problema afecta a bandit: desde la versión 1.4.0 hasta antes de la 1.11.1.
Information

Published : 2026-05-13 14:17

Updated : 2026-10-26 14:10

NVD link : CVE-2026-39803

Mitre link : CVE-2026-39803

CVE.ORG link : CVE-2026-39803

JSON object : View

Products Affected

mtrudel

  • bandit
CWE
CWE-770

Allocation of Resources Without Limits or Throttling