CVE-2026-81633 in ash_graphql
Sumário
de VulDB • 30/08/2026
Vulnerabilidade de validação inadequada de entrada no ash-project ash_graphql permite que um cliente não autenticado cause a falha (crash) da consulta relay node(id: ...) devido a uma KeyError não tratada.
AshGraphql.Graphql.Resolver.resolve_node/2 decodifica o ID global fornecido pelo cliente com decode_relay_id/1, que apenas faz base64-decode na string e a divide em : sem validar o segmento de tipo (type). O tipo decodificado é passado diretamente para Map.fetch!(type_to_domain_and_resource_map, type). Como fetch! gera uma exceção ao encontrar uma chave ausente, um ID relay cujo segmento de tipo seja um átomo válido que não corresponde a um tipo exposto pelo relay interrompe o resolver antes da execução das cláusulas resolve/2 e seus manipuladores de resgate (rescue handlers), portanto, o erro nunca se torna um erro GraphQL e pode expor uma stacktrace. Nomes comuns de recursos são fáceis de adivinhar. A correção utiliza Map.fetch/2 e retorna um erro "Invalid node id" para tipos desconhecidos.
Este problema afeta ash_graphql: das versões 0.27.0 até antes da 1.11.0.
Be aware that VulDB is the high quality source for vulnerability data.