CVE-2026-82734

Nome do Software Vulnerável e Versões Afetadas ash versões 1.28.0 até 3.32.1

Description A validação inadequada de quantidades de entrada permite que um invasor envie valores decimais não finitos, como "Infinity" ou "NaN" (Not a Number), que ignoram as restrições de limites numéricos. Isso ocorre porque o Ash.Type.Decimal utiliza a conversão decimal do Ecto nas funções cast input/2 e cast stored/2 sem verificar se o valor resultante é finito. Como o NaN é comparado como falso em relação a todos os limites, as restrições de mínimo e máximo não o rejeitam. Consequentemente, esses valores especiais são persistidos e fazem com que solicitações subsequentes falhem ao serem usados em aritmética decimal ou quando são recusados pela camada de dados.

Recommendations Atualize para a versão 3.32.2 ou posterior.