CVE-2026-81633 in ash_graphql
Riassunto
di VulDB • 30/08/2026
Una vulnerabilità di convalida impropria dell'input in ash-project ash_graphql consente a un client non autenticato di causare il crash di una query relay node(id: ...) tramite un KeyError non gestito.
AshGraphql.Graphql.Resolver.resolve_node/2 decodifica l'ID globale fornito dal cliente con decode_relay_id/1, che effettua solo la decodifica base64 della stringa e la suddivide su ":" senza validare il segmento del tipo. Il tipo decodificato viene passato direttamente a Map.fetch!(type_to_domain_and_resource_map, type). Poiché fetch! genera un'eccezione in caso di chiave mancante, un ID relay il cui segmento del tipo è un atomo valido ma non corrisponde a un tipo esposto da relay interrompe il risolutore prima che vengano eseguite le sue clausole resolve/2 e i relativi handler rescue; pertanto l'errore non viene restituito come errore GraphQL e può esporre uno stacktrace. I nomi delle risorse comuni sono facili da indovinare. La correzione utilizza Map.fetch/2 e restituisce un errore "Invalid node id" per i tipi sconosciuti.
Questo problema interessa ash_graphql: dalle versioni 0.27.0 alla versione precedente a 1.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.