Към съдържанието
Търсене

CVE-2026-82735: ash-project ash, отказ на услуга

5.9

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се локално, без особени условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Uncontrolled Resource Consumption vulnerability in ash-project ash allows an attacker to force an expensive regular expression to run on input that a length constraint should have already rejected. Ash.Type.String.apply_constraints/2 (lib/ash/type/string.ex) evaluated the :match regex regardless of the min_length and max_length constraints on the same attribute. Because the length check did not gate the regex, an over-length value that the length constraint rejects still had the pattern applied to it, so the length limit that would otherwise bound the work never constrained the regex input. Against a backtracking pattern this yields catastrophic regex evaluation on attacker-sized input, and even a linear pattern runs on arbitrarily large input, consuming CPU per request. The fix skips the :match regex whenever a length constraint is violated, making the two checks order-independent. This issue affects ash: from 0.10.0 before 3.32.2.

Засегнати продукти

  • ash-project ash: 0.10.0 преди 3.32.2
  • ash-project ash: 05848d5f4affe60fddd812222a18ada080c0813b преди 14928412a1a94a69c47df8e98920d3a2b09cdec4

Вид слабост

История

  • 1 септември 2026 Публикувано

Други уязвимости в ash-project ash

Първоизточници

CVE-2026-82735: ash-project ash, отказ на услуга | freedomonline.bg