CVE-2026-43967

absinthe-graphql absinthe proqramındakı səmərəsiz alqoritmik mürəkkəblik zəifliyi, kvadratik fragment-adının unikalılığının yoxlanılması vasitəsilə autentifikasiya olunmamış xidmətdən imtina (DoS) hücumuna şərait yaradır. 'Elixir.Absinthe.Phase.Document.Validation.UniqueFragmentNames':run/2 bütün fragmentlər üzrə dövr edir və hər biri üçün duplicate?/2 funksiyasını çağırır ki, bu da Enum.count(fragments, &(&1.name == name)) — fragment siyahısının tam xətti skanını həyata keçirir. Nəticədə, hər sənəd üçün O(N²) müqayisə baş verir, burada N çağıran tərəfindən təmin edilən fragment təriflərinin sayıya bərabərdir. input.fragments birbaşa GraphQL sorğu gövdəsindən qurulduğu üçün N tamamilə hücumçunun nəzarətindədir. Minimum ölçülü fragment tərifi təxminən 16 baytdır, buna görə də ~1 MB həcmli sənəd ~60,000 fragment daşıyır və bu tək validasiya mərhələsində ~3.6 × 10⁹ müqayisəni məcburi edir. Heç bir autentifikasiya, sxem biliyi və ya xüsusi konfiqurasiya tələb olunmur. Bu problem absinthe versiya 1.2.0-dan etibarən 1.10.2-dək olan versiyalara təsir edir.