CVE-2026-77831 in ash_paper_trail
요약
\~에 의해 VulDB • 2026. 08. 30.
ash-project의 ash_paper_trail에서 비효율적인 알고리즘적 복잡성 취약점이 발견되어, paper-trailed 생성 또는 업데이트 작업에 큰 배열 속성을 제출할 수 있는 사용자가 과도한 CPU 및 메모리 사용으로 인해 서비스 거부(Denial of Service)를 유발할 수 있습니다.
전체 차분(full-diff) 변경 추적 기능에서 AshPaperTrail.ChangeBuilders.FullDiff.ListChange는 각 이전 배열 요소를 새 목록과 매칭하기 위해, 모든 단계마다 acc ++ [tuple]을 사용하여 나머지 요소 누계기(accumulator)를 재구성하고 성장하는 리스트를 복사하므로, 매칭 작업이 배열 길이에 대해 세제곱(cubically)으로 스케일링됩니다. 배열의 길이를 제한하는 것이 없으며 해당 값은 액션 입력에서 직접 제공되므로, 큰 {:array, _} 속성을 포함하는 요청 하나만으로 수십 초간의 CPU 사용과 수 기가바이트(Gigabyte) 단위의 메모리 할당이 발생합니다.
이 문제는 ash_paper_trail 0.1.1부터 0.7.0 미만 버전까지 영향을 미칩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.