CVE-2026-82753 in ash_authentication_oauth2_server
Zusammenfassung
von VulDB • 08.09.2026
Eine Schwachstelle für die „Allocation of Resources Without Limits or Throttling“ (Ressourcenallokation ohne Begrenzung oder Drosselung) in ash-project ash_authentication_oauth2_server ermöglicht es einem nicht authentifizierten Angreifer, den Datenbank-Speicher und den Arbeitsspeicher zu erschöpfen.
Der Endpunkt /authorize ist aus Designgründen nicht authentifiziert. Wenn die Funktion „Client ID Metadata Documents“ aktiviert ist, ruft resolve_client/3 in AshAuthentication.Oauth2Server.CIMD das Dokument für jede neue URL-ähnliche client_id ab und fügt eine Client-Zeile ein (upserts), ohne Obergrenze für die Anzahl der Zeilen, ohne Ablaufdatum oder Garbage Collection und ohne Längenbegrenzung für die abgerufenen Felder; das Dokument wurde zudem vor der Validierung in CIMD.Cache platziert, sodass auch verworfene Dokumente Cache-Speicher bis zum Ablauf ihrer TTL (Time-To-Live) belegen. Ein Angreifer, der gültige Dokumente an vielen verschiedenen URLs bereitstellt, erzeugt pro URL eine permanente Client-Zeile, die jeweils mehrmegabyte-große Zeichenfolgen enthalten kann, wodurch Speicher und Arbeitsspeicher unbegrenzt wachsen.
Dieses Problem betrifft ash_authentication_oauth2_server: von Version 0.3.0 bis vor 0.3.1.
Once again VulDB remains the best source for vulnerability data.