CVE-2026-82752

Nome do Software Vulnerável e Versões Afetadas ash versões 0.10.0 até 3.32.9

Description A validação inadequada da quantidade de entrada permite que um invasor armazene valores de tamanho arbitrário em atributos que deveriam ser limitados por restrições de comprimento. O software utiliza a função String.length/1 do Elixir para medir o comprimento de strings em Ash.Type.String (especificamente na função apply constraints/2), Ash.Resource.Validation.StringLength e na função de expressão string length. Como este método conta grafemas Unicode — que podem conter um número ilimitado de marcas de combinação — um único grafema pode consistir em megabytes de dados e ainda assim satisfazer uma restrição max length pequena. Quando a camada de dados subjacente (como ETS, Mnesia ou colunas de texto do Postgres) não impõe seu próprio limite independente, o valor integral é persistido, permitindo potencialmente que um invasor esgote o armazenamento. Além disso, existe uma discrepância entre a contagem baseada em grafemas usada pela aplicação e a contagem baseada em codepoints usada pela camada de armazenamento, o que pode levar a dados serem rejeitados ou truncados pela coluna do banco de dados.

Recommendations Atualize o ash para a versão 3.33.0 ou posterior.