CVE-2026-78216 in ash_lua
الملخص
بحسب VulDB • 08/09/2026
تكشف AshLua إجراءات القراءة الخاصة بـ Ash للسكريبتات التي تعمل عبر إجراء eval. يقبل استدعاء القراءة عملية (list, min, max, first, sum, avg) تقوم بإنشاء Ash.Query.Aggregate مخصص لحقل معين وتعيد قيمته الخام.
تقوم سياسات حقول Ash بإخفاء الحقول المحظورة في السجلات المُرجعة (عن طريق استبدالها بـ %Ash.ForbiddenField{})، لكن هذا الإخفاء لا ينطبق على القيم المجمَّعة. وبالتالي، يمكن لسكريبت قراءة حقل تمنعه سياسات الحقل للمُنفِّذ من الوصول إليه عن طريق طلبه كمجموع بدلاً من كونه حقلاً عادياً. يشمل ذلك الحقول التي تكون public? true لكنها مقيدة لكل مُنفِّذ بواسطة سياسة حقل، مثل بيانات التعريف الشخصية الحساسة (PII). كان الترسية السابقة تفرض فقط قائمة السماح للحقول المعروضة (رؤية الحقول)، وهو محور منفصل عن تفويض سياسات حقول كل مُنفِّذ.
يُصرّح الإصلاح الحقل المُجمَّع مقابل سياسات حقل المورد، لذا يتم رفض تجميع حقل لا يمكن للمُنفِّذ رؤيته أو تقييده بالصفوف التي يكون فيها مرئياً.
تؤثر هذه المشكلة على ash_lua: من الإصدار 0.1.0 قبل 0.2.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.