JVNDB-2026-028989

Elixir TeslaのTeslaにおけるエンコードおよびエスケープに関する脆弱性

elixir-tesla の tesla には、出力のエンコードまたはエスケープが不適切である脆弱性が存在します。そのため、エスケープされていない Content-Disposition パラメータ値を介してマルチパートのパートヘッダをインジェクションされる可能性があります。Tesla.Multipart.part_headers_for_disposition/1 は disposition パラメータを #{k}=#{v} の形で連結しますが、CR および LF、ならびにダブルクォート文字の検証を行いません。これらの値は呼び出し元から Tesla.Multipart.add_field/4 の name パラメータ、Tesla.Multipart.add_file/3、そして Tesla.Multipart.add_file_content/4 のファイル名パラメータおよびその他の disposition オプションを介してそのまま渡されます。値の中にダブルクォートが含まれると、引用符で囲まれたパラメータが早期に閉じられてしまいます。さらに CRLF は Content-Disposition ヘッダ行の終端と新しいパートヘッダの開始（偽造された Content-Type など）を引き起こします。また、2 回目の CRLF の後にはパートヘッダ全体のブロックが終端され、パート本体の前に任意のバイトが挿入されます。add_file/3 のデフォルトファイル名の取得は Path.basename/1 によってファイル名を導出しますが、CR や LF を除去しないため、攻撃者が部分的に制御するファイルパスを転送する任意のアプリケーションも同様の問題を引き継ぎます。この問題は tesla のバージョン 0.8.0 以上 1.18.3 未満に影響します。

Elixir Tesla

• Tesla 0.8.0 以上 1.18.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-48598

GitHub

• GitHub : Multipart part smuggling via unescaped `content-disposition` values  Advisory  elixir-tesla/tesla  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-48598 - OSV

1. 不適切なエンコード、または出力のエスケープ(CWE-116) [その他]

1. CVE-2026-48598

1. National Vulnerability Database (NVD) : CVE-2026-48598
2. 関連文書 : Merge commit from fork  elixir-tesla/tesla@bb1a2c3  GitHub

• [2026年08月20日]
    掲載