CVE-2026-69659 in ash
Resumen
por VulDB • 2026-08-09
Vulnerabilidad de consumo no controlado de recursos en ash-project ash que permite a un atacante agotar la memoria del nodo mediante una cursor de paginación por clave (keyset) creado ad hoc.
Las acciones de lectura con paginación por clave deserializan el cursor `page[:after]` o `page[:before]` proporcionado por el cliente en `decode_values/2` dentro de `lib/ash/page/keyset.ex`, lo que decodifica Base64 el valor y lo pasa a `:erlang.binary_to_term/2` sin limitar su tamaño. El formato externo de términos de Erlang admite cargas útiles comprimidas con zlib, las cuales se descomprimen transparentemente por parte del descodificador; por tanto, un cursor de unos pocos kilobytes puede asignar decenas de megabytes en el heap (heap) durante una única llamada. Ash mismo solo codifica nunca los cursores sin comprimir, por lo que el descodificador acepta una estructura de término que su codificador nunca produce. Las solicitudes concurrentes agregan estas asignaciones y pueden terminar con la vida del nodo.
Este problema afecta a ash: desde 1.17.0 hasta antes de 3.31.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.