PT-2026-45840 · Tesla · Tesla

Jonatan Männchen + 2 · Publicado 2026-06-02 · Atualizado 2026-06-02 · CVE-2026-48597

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.2

Alta

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas tesla versões 1.3.0 até 1.18.2

Descrição Um problema no Tesla.Adapter.Mint permite a negação de serviço via exaustão da tabela de átomos. A função open conn/2 converte o esquema de URL de requisições de saída em um átomo BEAM usando String.to atom(uri.scheme) sem validação de lista de permissões. Átomos BEAM são entradas permanentes que não são coletadas pelo garbage collector e são limitadas a uma tabela de aproximadamente 1.048.576 entradas. Um invasor capaz de influenciar a URL da requisição — por meio de recursos de encaminhamento de URL no nível da aplicação, como webhooks, proxies ou importadores, ou via um cabeçalho Location quando o Tesla.Middleware.FollowRedirects está ativo — pode criar um novo átomo para cada requisição variando a string do esquema. Quando a tabela de átomos fica cheia, a máquina virtual falha, resultando no desligamento completo da aplicação.

Recomendações Atualizar para a versão 1.18.3.

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2026-48597

GHSA-H74C-Q9J7-MPCM

Produtos afetados

Tesla

Referências · 6

• https://github.com/elixir-tesla/tesla/commit/4699c3cb3e2fd6078f99f45f11cf7466aeedbf0e · Correção
• https://github.com/elixir-tesla/tesla/security/advisories/GHSA-h74c-q9j7-mpcm · Aviso do Fabricante
• https://osv.dev/vulnerability/EEF-CVE-2026-48597 · Aviso do Fabricante
• https://hex.pm/packages/tesla · Nota
• https://cna.erlef.org/cves/CVE-2026-48597.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-48597 · Nota de Segurança