CVE-2026-81636

ash-project ash_graphql komponentindəki Resursların Limitlənmədən və ya Tənzimlənmədən Ayırılması zəifliyi autentifikasiya olunmamış kliyentə konfiqurasiya edilmiş GraphQL sorğu mürəkkəbliyi (query-complexity) limitini yan keçməyə və məhdudiyyətsiz verilənlər bazası oxumasını məcburi etməyə imkan verir. AshGraphql.Graphql.Resolver.query_complexity/3 funksiyası alt elementin mürəkkəbliyini yalnız arqument xəritəsi :limit (offset pagination) ehtiva etdikdə sorğu edilən səhifə ölçüsü ilə vurur. Relay bağlantıları və keyset pagination isə first və last istifadə edir ki, bunlar heç vaxt həmin şərtlə üst-üstə düşmür və child_complexity + 1 qaytaran ümumi blokuna keçir. Buna görə də, posts(first: 500) { edges { node { comments(first: 500) { ... } } } } kimi iç-içə relay sorğusu tam genişlənməni reallaşdırdığı halda çox ucuz qiymətləndirilir və ekvivalent limit əsaslı sorğunu rədd edən Absinthe max_complexity limitindən keçir. Düzəliş, hərəkətin səhifə ölçüsünə uyğunlaşdırılmış first və last şərtlərini əlavə edir. Bu problem ash_graphql versiya 0.16.23-dən 1.11.0-a qədər olan versiyalara təsir edir.