Heimdall Security Logo

CVE-2026-56813

Vulnérabilité faible dans plug (elixir-plug)

CVSS 2.1 · Faible
EPSS 0.2%
elixir-plug•plug•Versions : <*, 1.17.0, <1.18.5, 1.20.0, 0.1.0, <1.19.5, <1.20.3, <1.17.4, 1.19.1, f26876aa67aaeb38e616638aa3efbcc2fe2906a5, <1.16.6, 1.18.0

Description

Improper Neutralization of Parameter/Argument Delimiters vulnerability in elixir-plug plug allows an attacker to inject or override HTTP cookie attributes. The Plug.Conn.Cookies.encode/2 function in lib/plug/conn/cookies.ex builds the Set-Cookie response header by interpolating the cookie value and its path, domain, same_site, and extra attributes directly into the header without neutralizing the ; delimiter that separates cookie attributes. An application that places attacker-controlled data into a cookie value or attribute (for example via Plug.Conn.put_resp_cookie/4 when reflecting a username or preference) lets an attacker inject a ; to append or override cookie attributes (such as Domain and Path scope, or dropping the Secure and HttpOnly flags), enabling cookie tossing and session fixation. Carriage return, line feed, and null bytes are rejected by Plug.Conn header validation, so HTTP response splitting is not possible, but attribute injection through ; is not prevented. This issue affects plug: from 0.1.0 before 1.16.6, from 1.17.0 before 1.17.4, from 1.18.0 before 1.18.5, from 1.19.1 before 1.19.5, and from 1.20.0 before 1.20.3.

Gravité et risque d'exploitation

CVE-2026-56813 obtient un score CVSS de 2.1/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.22 %, ce qui la place devant 11.3 % des CVE référencées.

Que faire ?

  • Vérifiez si plug (versions <*, 1.17.0, <1.18.5, 1.20.0, 0.1.0, <1.19.5, <1.20.3, <1.17.4, 1.19.1, f26876aa67aaeb38e616638aa3efbcc2fe2906a5, <1.16.6, 1.18.0) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE