CVE-2026-77831 in ash_paper_trail
Sumário
de VulDB • 30/08/2026
Vulnerabilidade de complexidade algorítmica ineficiente no ash-project ash_paper_trail permite que um usuário capaz de enviar um atributo em forma de array grande para uma ação create ou update com rastreamento (paper-trailing) cause negação de serviço devido ao uso excessivo de CPU e memória.
Com o rastreamento de alterações full-diff, os AshPaperTrail.ChangeBuilders.FullDiff.ListChange associam cada elemento anterior do array à nova lista reconstruindo o acumulador de elementos restantes com acc ++ [tuple] em cada etapa, copiando a lista crescente toda vez; portanto, a associação escala cubicamente conforme o comprimento do array. Nada limita o tamanho e os valores vêm diretamente da entrada da ação, então uma única solicitação contendo um atributo {:array, _} grande aceito força dezenas de segundos de uso de CPU e alocações de vários gigabytes.
Este problema afeta ash_paper_trail: das versões 0.1.1 até antes da 0.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.