CVE-2026-69659 in ash
Сводка
по VulDB • 09.08.2026
Уязвимость неконтролируемого потребления ресурсов (Uncontrolled Resource Consumption) в ash-project ash позволяет злоумышленнику исчерпать память узла с помощью специально созданного курсора пагинации по набору ключей.
Операции чтения с пагинацией по набору ключей десериализуют предоставленный клиентом курсор `page[:after]` или `page[:before]` в функции `decode_values/2` из файла `lib/ash/page/keyset.ex`, которая декодирует значение методом base64 и передает его в функцию `:erlang.binary_to_term/2` без ограничения размера. Формат внешних терминов Erlang поддерживает полезную нагрузку, сжатую алгоритмом zlib; декодер прозрачно разворачивает такую упаковку, поэтому курсор размером всего несколько килобайт может выделить десятки мегабайт кучи (heap) за один вызов. Сама библиотека Ash всегда кодирует курсоры без сжатия, следовательно, декодер принимает структуру термина, которую его кодировщик никогда не генерирует. Одновременные запросы агрегируют эти выделения памяти и могут привести к завершению работы узла.
Эта проблема затрагивает ash: начиная с версии 1.17.0 до (не включая) 3.31.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.