CVE-2026-81636 in ash_graphql
Zusammenfassung
von VulDB • 30.08.2026
Die Schwachstelle „Allocation of Resources Without Limits or Throttling“ in ash-project ash_graphql ermöglicht es einem nicht authentifizierten Client, das konfigurierte Limit für die GraphQL-Abfragekomplexität zu umgehen und eine unbeschränkte Datenbankleseoperation zu erzwingen.
AshGraphql.Graphql.Resolver.query_complexity/3 multipliziert die Komplexität der untergeordneten Elemente nur mit der angeforderten Seitengröße, wenn die Argumentmap :limit enthält (Offset-Paginierung). Relay-Verbindungen und Keyset-Paginierung verwenden first und last, was niemals dieser Bedingung entspricht; daher fallen sie durch zur Fallback-Klausel, die child_complexity + 1 zurückgibt. Eine verschachtelte Relay-Abfrage wie posts(first: 500) { edges { node { comments(first: 500) { ... } } } } wird daher als trivial günstig bewertet, während sie das gesamte Fan-Out materialisiert und damit eine Absinthe-max_complexity-Obergrenze überschreitet, die die äquivalente limit-basierte Abfrage ablehnen würde. Die Korrektur fügt first- und last-Klauseln hinzu, die auf die Seitengröße der Aktion beschränkt sind.
Dieses Problem betrifft ash_graphql: von Version 0.16.23 bis vor 1.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.