Quadratic sibling re-flattening in the html_sanitize_ex traversal engine allows CPU-exhaustion denial of service

Inefficient Algorithmic Complexity vulnerability in the traversal engine in rrrene html_sanitize_ex allows an unauthenticated remote attacker to exhaust server CPU and memory via a flat run of sibling elements in sanitized HTML. The list clause of HtmlSanitizeEx.Traverser.traverse/2 recurses on the tail of a sibling list and then evaluates List.flatten([head] ++ tail) over the already flattened result, so every one of n siblings copies and re-walks the entire remaining tail. The flattening is only needed for the rare case where scrub returns several replacement nodes for one node, but the cost is paid across the whole tail at every step, making traversal quadratic in sibling count. The traverser sits on every public entry point, so no particular scrubber or configuration is required and the payload needs only allowed tags. A 160 KB body of 20,000 sibling elements occupies a scheduler for roughly 1.7 seconds, and the cost grows faster than the body does. This issue affects html_sanitize_ex: from 0.3.1 before 1.4.5 and from 1.5.0-rc.0 before 1.5.3.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 12 Aug 2026, published on 12 August 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

rrreneのhtml_sanitize_exにおけるトラバーサーエンジンの非効率なアルゴリズム複雑性の脆弱性により、認証されていないリモート攻撃者がサニタイズされたHTML内の兄弟要素を連続して走査することで、サーバーのCPUおよびメモリを枯渇させる可能性があります。HtmlSanitizeEx.Traverser.traverse/2のリスト節は、兄弟リストの尾部で再帰し、その後すでにフラット化された結果に対してList.flatten([head] ++ tail)を評価します。これにより、n個の兄弟要素それぞれが残りの尾部全体をコピーして再走査してしまいます。フラット化は、scrubが1つのノードに対して複数の置換ノードを返す稀なケースでのみ必要ですが、そのコストがすべての尾部に対して各ステップで支払われるため、走査の計算量は兄弟数の二次関数的に増加します。トラバーサーはすべての公開エントリーポイントに存在しているため、特定のスクラバーや設定は不要であり、ペイロードは許可されたタグのみを必要とします。20,000個の兄弟要素からなる160KBのボディは、スケジューラを約1.7秒間占有し、そのコストはボディのサイズよりも速い速度で増加します。この問題はhtml_sanitize_exのバージョン0.3.1から1.5.3未満までに影響を及ぼします。