CVE-2026-69659

Nome do Software Vulnerável e Versões Afetadas ash-project ash versões 1.17.0 até 3.31.0

Description Um problema de consumo descontrolado de recursos existe onde um invasor pode esgotar a memória do nó usando um cursor de paginação de keyset manipulado. Ações de leitura que utilizam paginação de keyset desserializam cursores fornecidos pelo cliente através da função decode values/2 em lib/ash/page/keyset.ex. Este processo decodifica o valor em base64 e o passa para :erlang.binary to term/2 sem limitação de tamanho. Como o formato de termo externo do Erlang suporta cargas úteis compactadas com zlib, o decodificador pode inflar um cursor pequeno em dezenas de megabytes de memória heap. Como o software apenas codifica cursores como não compactados, o decodificador aceita formas de termos que o codificador não produz. Múltiplas requisições simultâneas podem agregar essas alocações e causar a terminação do nó. Isso envolve as variáveis page[:after] e page[:before].

Recommendations Atualize o ash-project ash para a versão 3.31.1 ou posterior.