CVE-2026-82753

ash-project ash_authentication_oauth2_server komponentindəki Resursların Limitlərsiz və ya Tənzimləməsiz Ayırılması zəifliyi autentifikasiya olunmamış hücumçuya verilənlər bazasının yaddaşını və sistem yaddaşını tükətməyə imkan verir. /authorize son nöqtəsi dizayn etibarilə autentifikasiyasızdır. Client ID Metadata Documents aktiv edildikdə, AshAuthentication.Oauth2Server.CIMD daxilindəki resolve_client/3 funksiyası hər bir yeni URL formatlı client_id üçün sənədi əldə edir və müştəri sətrini yeniləyir/əlavə edir (upsert); burada sətirlərin sayına heç bir məhdudiyyət, vaxtın bitməsi və ya zibil yığımı (garbage collection) mexanizmi tətbiq edilmir, həmçinin əldə edilən sahələrin uzunluğu məhdudlaşdırılmır. Sənəd təsdiqlənməmişdən əvvəl CIMD.Cache-ə yerləşdirilir, buna görə də rədd edilmiş sənədlər belə TTL müddətinə qədər keş yaddaşında qalır. Bir çox fərqli URL-lərdə düzgün sənədlər təqdim edən hücumçu, hər URL üçün bir daimi müştəri sətri yaradır və bunların hər biri çoxmeqabaytlı sətirlər daşıya bildiyi üçün yaddaş və saxlama sahəsi limitsiz şəkildə artır. Bu problem ash_authentication_oauth2_server versiya 0.3.0-dan başlayaraq 0.3.1 versiyasına qədər olan hissəni əhatə edir.