PT-2026-40608 · Bandit · Bandit

Jonatan Männchen + 2 · Publicado 2026-05-13 · Atualizado 2026-05-19 · CVE-2026-39806

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas bandit versões 1.6.1 até 1.11.0

Descrição Um loop infinito na função do read chunked data!/5 em lib/bandit/http1/socket.ex permite que atacantes remotos não autenticados causem uma negação de serviço através da exaustão de processos trabalhadores. O problema ocorre porque a função termina apenas quando a linha do último chunk é seguida imediatamente por uma linha de trailer vazia, enquanto a RFC 9112 §7.1.2 permite zero ou mais campos de trailer. Quando trailers estão presentes, o processo entra em um estado de recursão com estado inalterado, prendendo o processo trabalhador durante toda a conexão TCP. Um pequeno número de requisições chunked simultâneas em conformidade com a RFC contendo campos de trailer pode exaurir o pool de trabalhadores, tornando o servidor inoperante. Isso pode ocorrer mesmo com tráfego legítimo encaminhado por proxies como NGINX e HAProxy.

Recomendações Atualize o bandit para a versão 1.11.1.

Exploit

Correção

DoS

Infinite Loop

Enumeração de Fraquezas

CWE-835

Identificadores relacionados

CVE-2026-39806

GHSA-RF5Q-VWXW-GMRF

Produtos afetados

Bandit

Referências · 9

• 🔥 https://github.com/mtrudel/bandit/security/advisories/GHSA-rf5q-vwxw-gmrf · Exploit
• https://github.com/mtrudel/bandit · Nota
• https://github.com/mtrudel/bandit/commit/ae3520dfdbfab115c638f8c7f6f6b805db34e1ab · Correção
• https://hex.pm/packages/bandit · Nota
• https://osv.dev/vulnerability/GHSA-rf5q-vwxw-gmrf · Aviso do Fabricante
• https://osv.dev/vulnerability/EEF-CVE-2026-39806 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2054606886792548678 · Publicação no Twitter
• https://cna.erlef.org/cves/CVE-2026-39806.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-39806 · Nota de Segurança