CVE-2026-81853 in ash_admin
الملخص
بحسب VulDB • 31/08/2026
ثغرة تجاوز التفويض من خلال مفتاح يتحكم فيه المستخدم في ash-project ash_admin تحوّل عنوان URL الخاص بالبحث عن سجل إلى نبيّة مساواة (equality oracle) للسمات الحساسة.
تقوم الدالة `AshAdmin.Helpers.decode_primary_key/2` بفك تشفير صيغة المفتاح الأساسي المركب (Base64 بالإضافة إلى ETF) وتعيد الخريطة المفكوكة حرفياً كفلتر بحث، دون التحقق من أن مفاتيحها هي حقول المفتاح الأساسية للمورد. تحمي عملية الاسترجاع الحجم المحدود وتمنع الذرات الجديدة والدوال (`funs`) وترفض التعبيرات المتداخلة، لكن لا شيء منها يقيّد الحقول التي ستُعاد، ولا يزال `:safe` يسمح بأي اسم سمة مسجل بالفعل (interned). لذلك يمكن للمهاجم تشفير `%{api_token: "guess"}` وإدراجه في فلتر البحث، مما يتيح له تخمين قيمة السمة الحساسة (رمز API أو رمز إعادة التعيين) عن طريق التخمين المتكرر للمساواة؛ كما أن `Map.to_list/1` يقبل الهياكل (`structs`) أيضاً، ما يؤدي إلى ظهور مفتاح مزيف باسم `__struct__`. يعالج الإصلاح أي مفتاح مفكوك ليس حقلاً حقيقياً من حقول المفتاح الأساسي.
تؤثر هذه المشكلة في ash_admin: بدءاً من الإصدار 0.1.0 وحتى قبل 1.3.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.