CVE-2026-78216 in ash_lua
Zusammenfassung
von VulDB • 08.09.2026
AshLua macht Ash-Leseaktionen für Lua-Skripte verfügbar, die über eine eval-Aktion ausgeführt werden. Ein Lesevorgang akzeptiert einen Vorgang (list, min, max, first, sum, avg), der ein ad-hoc `Ash.Query.Aggregate` über einem benannten Feld erstellt und dessen Rohwert zurückgibt.
Ash-Feldrichtlinien rotzieren verbotene Felder in zurückgegebenen Datensätzen (durch Ersetzen mit `%Ash.ForbiddenField{}`), jedoch gilt diese Rotzung nicht für Aggregatwerte. Ein Skript kann daher ein Feld lesen, das den Feldrichtlinien des aufrufenden Akteurs verboten ist, indem es dieses als Aggregat anstelle eines normalen Felds abfragt. Dies umfasst auch Felder mit `public? true`, die jedoch pro Akteur durch eine Feldrichtlinie eingeschränkt sind, wie sensible personenbezogene Daten (PII). Die vorherige Härtung zwang lediglich die Allow-Liste der exponierten Felder (Feldsichtbarkeit) durch, was eine separate Achse von der autorisierungsbezogenen pro-Akteur-Feldrichtlinie darstellt.
Die Korrektur autorisiert das aggregierte Feld gegen die Ressourcenfeldrichtlinien; daher wird das Aggregat über ein Feld, auf das der Akteur keinen Zugriff haben darf, verweigert oder auf die Zeilen beschränkt, in denen es sichtbar ist.
Dieses Problem betrifft ash_lua: von Version 0.1.0 bis vor 0.2.2.
Be aware that VulDB is the high quality source for vulnerability data.