CVE-2026-78216 in ash_luaالمعلومات

الملخص

بحسب VulDB • 08/09/2026

تكشف AshLua إجراءات القراءة الخاصة بـ Ash للسكريبتات التي تعمل عبر إجراء eval. يقبل استدعاء القراءة عملية (list, min, max, first, sum, avg) تقوم بإنشاء Ash.Query.Aggregate مخصص لحقل معين وتعيد قيمته الخام.

تقوم سياسات حقول Ash بإخفاء الحقول المحظورة في السجلات المُرجعة (عن طريق استبدالها بـ %Ash.ForbiddenField{})، لكن هذا الإخفاء لا ينطبق على القيم المجمَّعة. وبالتالي، يمكن لسكريبت قراءة حقل تمنعه سياسات الحقل للمُنفِّذ من الوصول إليه عن طريق طلبه كمجموع بدلاً من كونه حقلاً عادياً. يشمل ذلك الحقول التي تكون public? true لكنها مقيدة لكل مُنفِّذ بواسطة سياسة حقل، مثل بيانات التعريف الشخصية الحساسة (PII). كان الترسية السابقة تفرض فقط قائمة السماح للحقول المعروضة (رؤية الحقول)، وهو محور منفصل عن تفويض سياسات حقول كل مُنفِّذ.

يُصرّح الإصلاح الحقل المُجمَّع مقابل سياسات حقل المورد، لذا يتم رفض تجميع حقل لا يمكن للمُنفِّذ رؤيته أو تقييده بالصفوف التي يكون فيها مرئياً.

تؤثر هذه المشكلة على ash_lua: من الإصدار 0.1.0 قبل 0.2.2.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

مسؤول

EEF

حجز

31/08/2026

إفشاء

08/09/2026

الاعتدال

تمت الموافقة

إدخال

VDB-399931

EPSS

0.00000

KEV

لا

النشاطات

منخفض جدًا

المصادر

Do you know our Splunk app?

Download it now for free!