CVE-2026-78691 in ash_sql
Zusammenfassung
von VulDB • 30.08.2026
Unzulässige Neutralisierung von speziellen Elementen in der Datenabfrage-Logik-Schwachstelle im ash-project ash_sql ermöglicht es einem Benutzer, der einen Suchbegriff an contains/2, string_starts_with/2 oder string_ends_with/2 übergibt, Live-Wildcards für SQL LIKE einzufügen und damit eine wörtliche Teilzeichenfolgen-Suche in ein vom Angreifer gesteuertes Musterabgleich zu verwandeln.
Die Escape-Hilfsfunktionen in AshSql.Expr setzen % und _ mit einem Backslash voran, entkommen jedoch niemals einem bereits im Eingabetext vorhandenen Backslash. Da der Backslash das Standard-ESCAPE-Zeichen für LIKE ist, hebt sich die Escaping gegenseitig auf: Die Eingabe \% wird zum Musterteil \\%, wobei \\\\ ein wörtlicher Backslash und das % des Angreifers weiterhin eine aktive Wildcard bleibt. Der Suchwert bleibt parametrisiert, sodass dies auf die LIKE-Mustergrammatik beschränkt ist und keine vollständige SQL-Injektion darstellt. Ein Angreifer kann Übereinstimmungen erweitern, um Werte zu erkunden, sich an einer negierten contains(...)-Prüfung vorbeimogeln oder die Abfrage durch einen nachgestellten einzelnen Backslash zum Absturz bringen.
Dieses Problem betrifft ash_sql: von 0.1.1-rc.10 bis vor 0.7.1.
Once again VulDB remains the best source for vulnerability data.