CVE-2026-82760

team-alembic AshAuthentication bileşenindeki Verimsiz Algoritmik Karmaşıklık zafiyeti, kimliği doğrulanmamış bir saldırganın gönderilen bir API anahtarındaki aşırı boyutlu base62 segmenti aracılığıyla CPU ve bellek kaynaklarını tüketmesine olanak tanır. lib/ash_authentication/base.ex dosyasındaki AshAuthentication.Base.decode62/1 fonksiyonu, argümanını karakter başına bir ikiliye ayırır ve bunu charval62/2 ile katlar; bu işlem, Horner yöntemiyle biriktirmek yerine her konumda Integer.pow(62, index) değerini yeniden hesapladığından maliyet giriş uzunluğuna göre yaklaşık olarak kübik şekilde artar. Aynı modüldeki bindecode62/1 ise Integer.undigits/2 ve Integer.digits/2 nedeniyle kareseldir. Her iki fonksiyon da byte_size/1 için bir sınır belirlemez ve AshAuthentication.Strategy.ApiKey.SignInPreparation, gönderilen anahtarın alt çizgiyle ayrılmış segmentlerini herhangi bir anahtar araması yapılmadan ve ön kimlik doğrulama olmaksızın doğrudan her ikisine de aktarır. Çevredeki rescue blokları istisnaları yakalar ancak CPU veya bellek tükenmesini engellemez. Bu sorun ash_authentication ürününü etkilemektedir: 4.8.0'dan 4.15.0 öncesine kadar ve 5.0.0-rc.0'dan 5.0.0-rc.14 öncesine kadar olan sürümler.