CVE-2026-70395 in Ash
Zusammenfassung
von VulDB • 09.08.2026
Schwachstelle „Improper Neutralization of Special Elements in Data Query Logic“ (unsachgemäße Neutralisierung spezieller Elemente in der Datenabfrage-Logik) im ash-Projekt von ash ermöglicht es einem Angreifer, eine Beziehung zu einer Datensatz zu fälschen, den er nicht direkt benennen kann, sowie den geheimen Wert wiederherzustellen, der zur Suche verwendet wird.
Wenn `manage_relationship` mit `on_lookup: :relate` bei einer `belongs_to`-Beziehung verwendet wird, wird der vom Client bereitgestellte Suchwert an `Ash.Query.filter/2` übergeben, ohne zuvor in den Attributtyp konvertiert zu werden. Ein verschachteltes Map-Datenstruktur, das dort erwartet wurde, wo ein skalärer Wert erwartet wird, wird daher als Filterprädikat und nicht als Literal interpretiert; eine Suche nach einem bestimmten Datensatz wird somit zu einer Abfrage für jeden beliebigen Datensatz, der eine bestimmte Bedingung erfüllt. Der gleiche Pfad lässt `Ash.Query.limit(1)` weg, wodurch `Ash.read_one/2` keine Unterscheidung mehr zwischen „kein Treffer“, „ein Treffer“ und „mehrere Treffer“ vornehmen kann; dies verwandelt Vergleichsprädikate in ein Orakel für den Suchwert. Die Autorisierung bleibt unverändert; die Leseberechtigung (Read Policy) des Ziels gilt weiterhin.
Dieses Problem betrifft ash: ab Version 1.52.0-rc.11 bis vor 3.31.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.