CVE-2026-77856 in ash_typescript
الملخص
بحسب VulDB • 01/09/2026
تتمثل ثغرة تخصيص الموارد دون حدود أو تقييد (Throttling) في ash-project ash_typescript في السماح لمهاجم غير مُصادق عليه باستنفاد جدول ذرات BEAM وإيقاف العقدة عبر أسماء حقول البنية المُعرَّفة نوعياً (typed struct field names) المقدمة من العميل.
تنظر الدالة `resolve_typed_struct_field/2` الموجودة في الملف `lib/ash_typescript/rpc/field_processing/field_selector.ex` إلى اسم الحقل المقدم من العميل ضمن الخريطة العكسية للبنية المعرّفة نوعياً، وعندما لا تجد تطابقاً، تعود لاستخدام دالة `String.to_atom/1`. ونظراً لأن هذا الإجراء يتم تنفيذه قبل أي فحص لوجود الحقول، فإن الاسم غير القابل للحل يُنتج ذرة دائمة (permanent atom) بدلاً من رفضه كاسم مجهول. وبما أن الذرات لا تخضع لعملية جمع القمامة (garbage collection)، فإن الطلب الذي يحمل العديد من الأسماء المميزة في حقل بنية معرّفة نوعياً يؤدي إلى نمو جدول الذرات حتى يتوقف محرك BEAM عند حدّه الأقصى.
تؤثر هذه المشكلة على ash_typescript: بدءاً من الإصدار 0.11.0 قبل الإصدار 0.18.0.
Be aware that VulDB is the high quality source for vulnerability data.