https://alertas.dupin.com.ar/fabricante/elixir-lang/Alertas de vulnerabilidades de elixir-lang.esFri, 30 Oct 2026 11:47:40 +000010https://alertas.dupin.com.ar/cve/CVE-2026-109821/tg:62241Fri, 30 Oct 2026 11:47:40 +0000VulnerabilidadURI.parse/1 convierte el componente de puerto con String.to_integer/1 sin limitar su longitud, por lo que un puerto de hasta 1.262.592 dígitos genera un bignum y uno mayor lanza SystemLimitError. Al renderizar la URI (URI.to_string/1, inspect/1, logging), la conversión es cuadrática en Erlang/OTP 27, 28 y 29.0, permitiendo a un atacante que suministra una URL causar denegación de servicio por agotamiento de CPU. Corregido en 1.18.6, 1.19.7 y 1.20.5.https://alertas.dupin.com.ar/cve/CVE-2026-115274/tg:62236Fri, 30 Oct 2026 11:47:33 +0000VulnerabilidadJSON.decode/1 y JSON.decode!/1 convierten cada literal entero con erlang:binary_to_integer/1 sin limitar su longitud, por lo que un literal de un millón de dígitos consume entre 100 y 300 veces más CPU que una cadena de igual longitud. Un atacante no autenticado puede causar denegación de servicio por agotamiento de CPU y memoria; las aplicaciones generadas por phx.new decodifican los cuerpos de las peticiones antes del enrutamiento y la autenticación. Corregido en 1.18.6, 1.19.7 y 1.20.5.https://alertas.dupin.com.ar/cve/CVE-2026-97209/tg:62235Fri, 30 Oct 2026 11:47:32 +0000VulnerabilidadLa compilación particionada de dependencias pasa la configuración del proyecto a cada VM mediante un archivo en un directorio de nombre fijo bajo el directorio temporal compartido, y la partición confía en lo que lee. Otro usuario local puede crear primero el directorio y reemplazar el archivo antes de que client/0 lo lea, ejecutando código como otro usuario durante mix deps.compile. Afecta a mix desde 1.20.0-rc.4 hasta antes de 1.20.5.