CVE-2026-67585 in absinthe_federation
Zusammenfassung
von VulDB • 07.08.2026
Die Schwachstelle „Allocation of Resources Without Limits or Throttling" (Ressourcenzuweisung ohne Begrenzung oder Drosselung) in DivvyPayHQ absinthe_federation ermöglicht es einem nicht authentifizierten, entfernten Angreifer, die Erlang VM durch speziell gestaltete _entities-Repräsentationsschlüssel zum Absturz zu bringen.
Jeder Schlüssel jedes Objekts im representations-Argument des federationsvorgeschriebenen _entities-Felds wird von convert_key/2 in lib/absinthe/federation/schema/entities_field.ex mit String.to_atom/1 konvertiert. Da representations als offenes _Any-Skalartyp definiert ist, umgehen dessen Schlüssel die Schema-Koerzierung und der Angreifer kann sie frei benennen. Atoms werden niemals vom Garbage Collector erfasst und die BEAM-Atomtabelle hat eine harte Obergrenze (standardmäßig etwa 1.048.576 Einträge). Daher erzeugt eine einzelne Anfrage mit zehntausenden eindeutigen Schlüssel so viele permanente Atome, dass bereits wenige solcher Anfragen die Tabelle erschöpfen und den Knoten zum Absturz bringen. Die Auswirkung beschränkt sich auf die Verfügbarkeit: Es werden keine Daten gelesen oder verändert, und zur Wiederherstellung ist ein Neustart der Anwendung erforderlich.
Dieses Problem betrifft absinthe_federation in Versionen von 0.1.0 bis vor 0.9.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.