CVE-2026-82722
Açıklama
ash-project ash_admin bileşenindeki Sınırlandırılmamış veya Kontrol Edilmemiş Kaynak Tahsisi zafiyeti, admin LiveView'a erişebilen herhangi bir istemcinin BEAM atom tablosunu tüketmesine ve tüm düğümün çökmesine neden olabilir. İki LiveView olay işleyicisi, doğrulanmamış istemci girdilerinden atomlar oluşturuyordu: AshAdmin.PageLive'ın set_actor fonksiyonu, resource/domain yükünden Module.concat/1 ile modüller oluşturuyor ve AshAdmin.Components.Resource.Show'un calculate fonksiyonu, gönderilen her form anahtarını String.to_atom/1 ile dönüştürüyordu. Atomlar hiçbir zaman çöp toplayıcı (garbage collector) tarafından temizlenmez ve tablo kapasitesi sınırlıdır; bu nedenle, rastgele isimlerle bu olaylardan herhangi birinin doldurulması, VM işlemi sonlandırana kadar istek başına yeni bir atom oluşturarak düğümdeki tüm uygulamaları devre dışı bırakır. Düzeltme, gönderilen resource/domain bilgisini bilinen gösterilen kaynaklara göre çözer ve hesaplama anahtarlarını beyan edilen argümanlarla eşleştirir, böylece istemci tarafından sağlanan hiçbir dize atomlaştırılmaz. Bu sorun, 0.1.0 ile 1.3.1 arasındaki ash_admin sürümlerini etkilemektedir.
Nasıl düzeltilir
- ash-project ash_admin1.3.1, 731dffa09416d68f4ad3a0b6ee146b285ca0083b ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ash-project ash_admin | 0.1.0 ≤ v < 1.3.1, 98b03baa8422b94dd13e305bf08b8ee3f7232c7b ≤ v < 731dffa09416d68f4ad3a0b6ee146b285ca0083b | 1.3.1, 731dffa09416d68f4ad3a0b6ee146b285ca0083b |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.