Tesla vulnerable to atom exhaustion via untrusted URL scheme — GHSA-H74C-Q9J7-MPCM

GitHub · GitHub · GHSA-H74C-Q9J7-MPCM

ID
GHSA-H74C-Q9J7-MPCM

Datum
2026-07-10

Quelle
GitHub

Vendor
GitHub

Risiko
high

CVSS
8.2

EPSS
0.00301

Zusammenfassung

### Summary In the Mint adapter for the Tesla HTTP client library, `Tesla.Adapter.Mint.open_conn/2` passes the URL scheme of every outgoing request through `String.to_atom/1` with no allow-list validation. Because BEAM atoms are permanent (never garbage-collected) and the atom table is bounded at roughly 1,048,576 entries, an attacker who can vary the URL scheme across requests can mint one fresh atom per request…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-07-10

Risikokontext

Gemeldeter Schweregrad oder Risikowert: high.
Gemeldeter CVSS-Wert: 8.2 von 10.
Gemeldeter EPSS-Wert: 0.00301.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: erlang: tesla.

Produkt

erlang: tesla

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-H74C-Q9J7-MPCM
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-07-10
Letzte Quellenaktivität: 2026-07-10
Weitere Kennungen: CVE-2026-48597
Kuratiert von: hlukh.ch