CVE-2026-81636

ash-project ash_graphql bileşenindeki Sınırlandırma veya Kısıtlama Olmaksızın Kaynak Tahsisi zafiyeti, kimliği doğrulanmamış bir istemcinin yapılandırılmış GraphQL sorgu karmaşıklığı (query-complexity) sınırını atlamasına ve sınırsız bir veritabanı okuması gerçekleştirmesine olanak tanır. AshGraphql.Graphql.Resolver.query_complexity/3, alt öğe karmaşıklığını yalnızca argüman haritası :limit içerdiğinde (ofset sayfalama) istenen sayfa boyutuyla çarpar. Relay bağlantıları ve anahtar kümesi (keyset) sayfalama işlemleri, bu yan tümceyle hiçbir zaman eşleşmeyen first ve last ifadelerini kullanır ve child_complexity + 1 değerini döndüren genel yakalama kısmına düşer. Bu nedenle, posts(first: 500) { edges { node { comments(first: 500) { ... } } } } gibi iç içe geçmiş bir relay sorgusu, tam dağılımı gerçekleştirirken önemsiz derecede düşük maliyetli olarak puanlanır ve eşdeğer limit tabanlı sorguyu reddeden Absinthe max_complexity sınırını geçer. Düzeltme, eylemin sayfa boyutuna göre sabitlenmiş first ve last yan tümcelerini ekler. Bu sorun ash_graphql'in 0.16.23 sürümünden 1.11.0 öncesine kadar olan sürümlerini etkilemektedir.