CVE-2026-77831

Nome do Software Vulnerável e Versões Afetadas ash paper trail versões 0.1.1 até 0.6.9

Description Um problema de complexidade algorítmica ineficiente ocorre ao utilizar o rastreamento de alterações full-diff. Um usuário pode causar a negação de serviço ao enviar um atributo de array extenso para uma ação de criação ou atualização. A função AshPaperTrail.ChangeBuilders.FullDiff.ListChange emparelha cada elemento de array anterior com a nova lista reconstruindo o acumulador de elementos restantes com acc ++ [tuple] em cada etapa. Esse processo copia a lista crescente repetidamente, fazendo com que o emparelhamento escale cubicamente em relação ao comprimento do array. Como não há limite para o comprimento do atributo {:array, }, uma única requisição pode forçar o uso excessivo de CPU e alocações de memória de vários gigabytes.

Recommendations Atualize o ash paper trail para a versão 0.7.0 ou posterior. Como medida de mitigação temporária, restrinja o comprimento máximo dos atributos de array aceitos em ações de criação ou atualização ou evite usar a configuração change tracking mode :full diff.