CVE-2026-67585 in absinthe_federation
Resumen
por VulDB • 2026-08-07
Vulnerabilidad de asignación de recursos sin límites ni control en DivvyPayHQ absinthe_federation que permite a un atacante remoto no autenticado abortar la máquina virtual Erlang (BEAM) mediante claves de representación _entities manipuladas ad hoc.
Cada clave de cada objeto en el argumento representations del campo _entities, obligatorio por la federación, se convierte con String.to_atom/1 mediante convert_key/2 en lib/absinthe/federation/schema/entities_field.ex. El tipo de representations es un escalar abierto (_Any), por lo que sus claves omiten la coerción del esquema y el atacante puede nombrarlas libremente. Los átomos nunca son recolectados como basura (garbage collected) y la tabla de átomos BEAM tiene un límite fijo (aproximadamente 1,048,576 entradas por defecto), por lo que una solicitud con decenas de miles de claves únicas crea esa misma cantidad de átomos permanentes; unas pocas solicitudes de este tipo agotan la tabla y provocan el aborto del nodo. El impacto se limita a la disponibilidad: no se leen ni modifican datos, y la recuperación requiere reiniciar la aplicación.
Este problema afecta a absinthe_federation desde la versión 0.1.0 hasta antes de la 0.9.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.