CVE-2026-81636

Nome do Software Vulnerável e Versões Afetadas ash graphql versões 0.16.23 até 1.10.9

Descrição Um cliente não autenticado pode ignorar o limite de complexidade de consulta GraphQL configurado para forçar uma leitura de banco de dados ilimitada. Isso ocorre porque a função query complexity/3 em AshGraphql.Graphql.Resolver multiplica a complexidade do filho pelo tamanho da página solicitado apenas quando o mapa de argumentos contém :limit (usado em paginação de deslocamento). Conexões Relay e paginação de chaves utilizam os argumentos first e last, que não correspondem a essa cláusula específica e, em vez disso, acionam um caso genérico que retorna child complexity + 1. Consequentemente, uma consulta relay aninhada pode ser percebida como de baixa complexidade enquanto causa um fan-out completo durante a materialização, ignorando o limite max complexity no Absinthe.

Recomendações Atualize o ash graphql para a versão 1.11.0 ou posterior.