漏洞概述 CVE编号: CVE-2026-48594 漏洞名称: Decompression bomb in Tesla.Middleware.DecompressResponse and Tesla.Middleware.Compression CVSS 4.0 Score: 8.2 (HIGH) 漏洞描述: 在elixir-tesla中,当Tesla.Middleware.DecompressResponse或Tesla.Middleware.Compression被包含在Tesla中间件管道中时,HTTP响应体会被无限制地解压缩。Tesla.Middleware.Compression模块中的decompress_body/2函数在lib/tesla/middleware/compression.ex中,将完整的响应体传递给:zlib.gunzip/1或:zlib.unzip/1,没有任何输出大小限制。此外,compression.algorithms/1函数在逗号和decompress_body/2递归时分割content-encoding头,每次迭代应用一次解压缩。服务器广告content-encoding: gzip, gzip, gzip, gzip会导致四次递归解压缩传递,产生指数级放大:每个gzip层可以将其输入扩展约1000倍,因此几百字节的载荷可以膨胀到GB级的BEAM堆,耗尽内存并导致调用进程崩溃或冻结。 影响范围 受影响版本: 从0.6.0到1.18.3 模块: - Tesla.Middleware.Compression - Tesla.Middleware.DecompressResponse 源文件: lib/tesla/middleware/compression.ex 例程: - Tesla.Middleware.DecompressResponse.call/3 - Tesla.Middleware.Compression.call/3 修复方案 修复版本: < 1.18.3 配置: 应用程序必须在Tesla中间件管道中包含Tesla.Middleware.DecompressResponse或Tesla.Middleware.Compression。 参考链接 GitHub Advisory OSV Vulnerability GitHub Commit 贡献者 Finder: Peter Ullrich Remediation developer: Yordis Prieto Analyst: Jonatan Männchen