CVE-2026-77856

Nome do Software Vulnerável e Versões Afetadas ash typescript versões 0.11.0 até 0.17.9

Description Um invasor não autenticado pode causar a negação de serviço ao esgotar a tabela de átomos do BEAM, levando ao aborto do nó. Isso ocorre quando a função resolve typed struct field/2 em lib/ash typescript/rpc/field processing/field selector.ex processa nomes de campos de estruturas tipadas fornecidos pelo cliente. Se um nome de campo não for encontrado no mapa reverso, o sistema utiliza String.to atom/1 para criar um átomo permanente antes de verificar se o campo existe. Como os átomos não são coletados pelo garbage collector, o envio de inúmeros nomes distintos pode preencher a tabela de átomos até que a máquina virtual atinja seu limite e trave. Este problema ocorre quando um endpoint RPC do AshTypescript está exposto via HTTP e pelo menos um campo de recurso é suportado por um Ash.TypedStruct.

Recommendations Atualize o ash typescript para a versão 0.18.0 ou posterior.