JVNDB-2026-016987

Absinthe-graphqlのAbsintheにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

absinthe-graphqlのabsintheにおけるリソース制限やスロットリングなしの割り当ての脆弱性により、攻撃者が制御するGraphQL SDLの解析時にアトムテーブルが枯渇し、認証なしでサービス拒否が可能になります。AbsintheのSDL言語モジュールにある複数のBlueprint.Draft.convert/2の実装は、解析されたGraphQL SDLドキュメント内のディレクティブ名、フィールド名、型名、引数名など、攻撃者が制御する名前に対してString.to_atom/1を呼び出します。アトムはガベージコレクションされず、BEAMのアトムテーブルには固定された上限（デフォルト1,048,576）があるため、各ユニークな名前は永久に1つのスロットを消費します。攻撃者は十分な数のユニーク名を含むSDLドキュメントを送信することでアトムテーブルを枯渇させ、Erlang VMがsystem_limitエラーで中断し、ノード全体がダウンします。この問題は、攻撃者が制御するGraphQL SDLをAbsintheのパーサに通すすべてのアプリケーションに影響を与えます。例として、スキーマアップロードエンドポイント、リモートSDLを取り込むフェデレーションゲートウェイ、ユーザー提供ドキュメントに対してパーサを実行する開発者ツールなどが挙げられます。この問題はabsintheのバージョン1.5.0から1.10.2未満に影響があります。

Absinthe-graphql

• Absinthe 1.5.0 より大きい 1.10.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : Atom table exhaustion via attacker-controlled GraphQL SDL names in absinthe | Erlang Ecosystem Foundation CNA

GitHub

• GitHub : Unbounded atom creation from parsed directive name  Advisory  absinthe-graphql/absinthe  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-42793 - OSV

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-42793

1. National Vulnerability Database (NVD) : CVE-2026-42793
2. 関連文書 : Merge commit from fork  absinthe-graphql/absinthe@dd842b9  GitHub

• [2026年05月28日]
    掲載