目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-97853— Decimal模块places参数致DoS漏洞

一分钟漏洞结论

影响对象
ericmj decimal
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

库中存在一个“分配过大内存值”（Excessive Size Value）漏洞，可导致拒绝服务（Denial of Service, DoS）。 在 函数中，系统会在应用上下文精度（默认为 34 位）之前，先为请求的十进制位数构建完整的计算结果，因此其资源消耗随 （位数）参数增长，而非随结果的大小增长。具体而言： 当 为正数时，函数会先将相应数量的零作为字符列表附加到系数末尾，再转换为整数； 当 为负数时，函数会构建一个由 个零组成的字符列表。 例如，单次调用 就会分配约 5.5 GB 的内存，这可能导致可用内存耗

CVSS 6.9 · Medium EPSS 0.14% · P3

影响版本矩阵 2

厂商产品 版本范围状态
ericmj decimal 0.1.0< 3.1.2 affected
05bb73eb40ddef24eda782d905766f56a3660522< * affected
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-97853 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Unbounded allocation in decimal Decimal.round/3 driven by the places argument enables DoS
来源: CVE Program / CVE List V5
Vulnerability Description
Memory Allocation with Excessive Size Value vulnerability in ericmj decimal allows Denial of Service. Decimal.round/3 builds the full result for the requested number of decimal places before the context precision (34 digits by default) is applied, so its cost grows with the places argument instead of with the size of the result. For positive places it appends places zero digits to the coefficient as a charlist before converting it to an integer, and for negative places it builds a charlist of -places zero digits. A single call such as Decimal.round(Decimal.new("1.5"), -50_000_000) allocates about 5.5 GB of memory, which can exhaust available memory and get the BEAM VM killed. The oldest releases instead loop once per decimal place, consuming CPU in proportion to places. Any application that passes a user-supplied number of decimal places or scale to Decimal.round/2 or Decimal.round/3 without bounding it is exposed. The input limits added for CVE-2026-32686 do not cover the places argument. This issue affects decimal: from 0.1.0 before 3.1.2.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
未经控制的内存分配
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
ericmj decimal 0.1.0 ~ 3.1.2 cpe:2.3:a:ericmj:decimal:*:*:*:*:*:*:*:*
ericmj decimal 05bb73eb40ddef24eda782d905766f56a3660522 ~ * cpe:2.3:a:ericmj:decimal:*:*:*:*:*:*:*:*

二、漏洞 CVE-2026-97853 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-97853 的情报信息

请登录查看更多情报信息。

CVE-2026-97853 补丁与修复 (2)

CVE-2026-97853 厂商安全公告 (3)

IV. Related Vulnerabilities

Same product: decimal
Same vendor: ericmj
Same weakness: CWE-789

V. Comments for CVE-2026-97853

暂无评论

发表评论