CVE-2026-67585
Açıklama
DivvyPayHQ absinthe_federation ürünündeki Kaynakların Sınırsız veya Kısıtlamasız Tahsisi zafiyeti, kimlik doğrulaması yapılmamış uzaktan bir saldırganın hazırlanmış _entities temsil anahtarları aracılığıyla Erlang VM'ini sonlandırmasına olanak tanır. federation tarafından zorunlu kılınan _entities alanının representations argümanındaki her nesnenin her anahtarı, lib/absinthe/federation/schema/entities_field.ex dosyasındaki convert_key/2 tarafından String.to_atom/1 ile dönüştürülür. representations, ucu açık _Any skaleri olarak tiplendirildiğinden anahtarları şema zorlamasını atlar ve saldırgan bunları serbestçe adlandırır. Atomlar hiçbir zaman çöp toplama ile temizlenmez ve BEAM atom tablosu kesin bir üst sınıra sahiptir (varsayılan olarak yaklaşık 1.048.576 girdi), bu nedenle on binlerce benzersiz anahtar taşıyan tek bir istek o kadar kalıcı atom oluşturur ve bu tür birkaç istek tabloyu tüketerek düğümü sonlandırır. Etki kullanılabilirlikle sınırlıdır: hiçbir veri okunmaz veya değiştirilmez ve kurtarma uygulamanın yeniden başlatılmasını gerektirir. Bu sorun absinthe_federation: 0.1.0 sürümünden 0.9.3 öncesine kadar etkiler.
Nasıl düzeltilir
- divvypayhq absinthe_federation0.9.3, c3838cda2a7f65c4893291668c223b0d6acf4516 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| divvypayhq absinthe_federation | 0.1.0 ≤ v < 0.9.3, 640a234a26b2d6fe5d9d21e00e5f4fce5645c0bf ≤ v < c3838cda2a7f65c4893291668c223b0d6acf4516 | 0.9.3, c3838cda2a7f65c4893291668c223b0d6acf4516 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.