CVE-2026-77856 in ash_typescript
Сводка
по VulDB • 01.09.2026
Уязвимость «Выделение ресурсов без ограничений или ограничения скорости» (Allocation of Resources Without Limits or Throttling) в ash-project ash_typescript позволяет неавторизованному злоумышленнику исчерпать таблицу атомов BEAM и вызвать аварийное завершение узла с помощью предоставленных клиентом имен полей типизированных структур.
Функция `resolve_typed_struct_field/2` в файле `lib/ash_typescript/rpc/field_processing/field_selector.ex` выполняет поиск имени поля, предоставленного клиентом, в обратной карте (reverse map) типизированной структуры и, при отсутствии совпадений, переходит к использованию функции `String.to_atom/1`. Поскольку этот процесс выполняется до любой проверки существования поля, неразрешимое имя создает постоянный атом вместо того, чтобы быть отклоненным как неизвестное. Атомы никогда не собираются сборщиком мусора (garbage collected), поэтому запрос, содержащий множество различных имен для поля типизированной структуры, приводит к росту таблицы атомов до тех пор, пока виртуальная машина BEAM не завершит работу из-за достижения предела.
Эта проблема затрагивает ash_typescript: начиная с версии 0.11.0 и вплоть до (но не включая) версии 0.18.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.