PT-2026-40607 · Bandit · Bandit

Jonatan Männchen + 2 · Publicado 2026-05-13 · Atualizado 2026-05-19 · CVE-2026-39803

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas bandit versões 1.4.0 até 1.11.0

Descrição Um invasor remoto não autenticado pode causar a negação de serviço via exaustão de memória. A função read data/2 em Elixir.Bandit.HTTP1.Socket ignora a opção :length ao processar corpos de requisição HTTP/1 chunked. Especificamente, a função do read chunked data!/5 armazena cada chunk recebido em um iolist sem limitar o corpo acumulado ao limite configurado, materializando todo o corpo como um único binário. Como esse processo ocorre antes do roteamento e da autenticação em endpoints Phoenix padrão, o envio de uma única requisição POST com o cabeçalho Transfer-Encoding: chunked e um corpo arbitrariamente grande pode exaurir a memória do processo BEAM, levando à terminação pelo OOM killer do sistema operacional.

Recomendações Atualize o bandit para a versão 1.11.1.

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2026-39803

GHSA-9Q9Q-324X-93R2

Produtos afetados

Bandit

Referências · 8

• 🔥 https://github.com/mtrudel/bandit/security/advisories/GHSA-9q9q-324x-93r2 · Exploit
• https://github.com/mtrudel/bandit · Nota
• https://github.com/mtrudel/bandit/commit/ae3520dfdbfab115c638f8c7f6f6b805db34e1ab · Correção
• https://hex.pm/packages/bandit · Nota
• https://osv.dev/vulnerability/EEF-CVE-2026-39803 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9q9q-324x-93r2 · Aviso do Fabricante
• https://cna.erlef.org/cves/CVE-2026-39803.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-39803 · Nota de Segurança