CVE-2026-82760

team-alembic AshAuthentication kitabxanasındakı Səmərəsiz Alqoritmik Mürəkkəblik zəifliyi, autentifikasiya olunmamış hücumçuya təqdim edilmiş API açarındakı həddindən artıq böyük base62 seqmenti vasitəsilə CPU və yaddaşı tükətməyə imkan verir. lib/ash_authentication/base.ex faylındakı AshAuthentication.Base.decode62/1 funksiyası öz arqumentini hər simvol üçün bir binar hissəyə bölür və onu charval62/2 ilə birləşdirir; burada Horner metodundan istifadə edib toplamaq əvəzinə, hər mövqedə Integer.pow(62, index) yenidən hesablanır, buna görə də xərc giriş uzunluğuna görə təxminən kubik şəkildə artır. Eyni moduldakı bindecode62/1 funksiyası isə Integer.undigits/2 və Integer.digits/2 vasitəsilə kvadratik artım göstərir. Heç bir funksiya byte_size/1 limitini tətbiq etmir və AshAuthentication.Strategy.ApiKey.SignInPreparation təqdim edilmiş açarın alt xətt ilə ayrılmış seqmentlərini hər hansı açar axtarışı və ya öncədən autentifikasiya olmadan birbaşa hər iki funksiyaya ötürür. Ətrafdakı rescue blokları istisnaları tutur, lakin CPU və ya yaddaşın tükənməsinin qarşısını almır. Bu problem ash_authentication versiyalarını əhatə edir: 4.8.0-dan 4.15.0-a qədər və 5.0.0-rc.0-dan 5.0.0-rc.14-ə qədər.