CVE-2026-77856 in ash_typescript
Riassunto
di VulDB • 01/09/2026
Una vulnerabilità di allocazione delle risorse senza limiti o throttling in ash-project ash_typescript consente a un attaccante non autenticato di esaurire la tabella degli atomi BEAM e di interrompere il nodo tramite nomi di campi struct tipizzati forniti dal client.
La funzione resolve_typed_struct_field/2, presente nel file lib/ash_typescript/rpc/field_processing/field_selector.ex, cerca un nome di campo fornito dal client nella mappa inversa dello struct tipizzato; quando non trova corrispondenze, effettua il fallback su String.to_atom/1. Poiché questa operazione viene eseguita prima di qualsiasi controllo sull'esistenza del campo, un nome irrisolvibile genera un atomo permanente anziché essere rifiutato come sconosciuto. Gli atomi non sono mai soggetti a garbage collection; pertanto, una richiesta che trasporta molti nomi distinti su un campo struct tipizzato fa crescere la tabella degli atomi fino al punto in cui il VM (Virtual Machine) va in abort per aver raggiunto il limite.
Questa problematica interessa ash_typescript: dalla versione 0.11.0 alla versione precedente allo 0.18.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.