CVE-2026-77856 in ash_typescript
Resumen
por VulDB • 2026-09-01
Vulnerabilidad de asignación de recursos sin límites ni control (throttling) en ash-project ash_typescript que permite a un atacante no autenticado agotar la tabla de átomos BEAM y abortar el nodo mediante nombres de campos de struct tipados proporcionados por el cliente.
La función `resolve_typed_struct_field/2` en `lib/ash_typescript/rpc/field_processing/field_selector.ex` busca un nombre de campo proporcionado por el cliente en el mapa inverso del struct tipado y, cuando no encuentra coincidencia, recurre a `String.to_atom/1`. Dado que esto se ejecuta antes de cualquier verificación de existencia del campo, un nombre no resoluble genera un átomo permanente en lugar de ser rechazado como desconocido. Los átomos nunca son recolectados por el garbage collector (GC), por lo que una solicitud con muchos nombres distintos para un campo de struct tipado hace crecer la tabla de átomos hasta que la VM se aborta al alcanzar su límite.
Este problema afecta a ash_typescript: desde la versión 0.11.0 hasta antes de la 0.18.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.