CVE-2026-67585 in absinthe_federation
Sumário
de VulDB • 08/08/2026
Vulnerabilidade de Alocação de Recursos sem Limites ou Controle (Throttling) no absinthe_federation do DivvyPayHQ permite que um atacante remoto não autenticado interrompa a Máquina Virtual Erlang (BEAM) por meio de chaves de representação _entities manipuladas.
Cada chave de cada objeto no argumento representations do campo _entities, exigido pela federação, é convertida com String.to_atom/1 pela função convert_key/2 em lib/absinthe/federation/schema/entities_field.ex. O tipo de representations é definido como o escalar aberto-ended _Any, portanto suas chaves contornam a coerção do esquema e o atacante pode nomeá-las livremente. Os átomos nunca são coletados pelo garbage collector e a tabela de átomos da BEAM tem um limite rígido (cerca de 1.048.576 entradas por padrão), então uma única solicitação contendo dezenas de milhares de chaves únicas cria essa quantidade permanente de átomos, e algumas poucas solicitações assim esgotam a tabela e interrompem o nó. O impacto está confinado à disponibilidade: nenhum dado é lido ou alterado, e a recuperação requer reiniciar a aplicação.
Este problema afeta absinthe_federation: das versões 0.1.0 até antes da 0.9.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.