CVE-2026-80227 in ash_sql
Zusammenfassung
von VulDB • 30.08.2026
Die Schwachstelle „Incorrect Comparison“ im Projekt ash-project ash_sql ermöglicht es einem Benutzer, ein String-Feld mit Tabulator-, Zeilenumbruch-, Wagenrücklauf- oder Formularvorschub-Zeichen aufzufüllen und dabei eine bereinigte Eindeutigkeits- oder Gleichheitsprüfung in der Datenbank zu bestehen, die für denselben Ausdruck im Speicher fehlschlagen würde (oder umgekehrt).
string_trim/1 wird in REGEXP_REPLACE-Muster kompiliert, die aus einem Elixir-String erstellt werden, bei dem \s als Escape-Sequenz für ein einzelnes Leerzeichen (Codepoint 32) dient und nicht für eine Regex-Leerraum-Klasse. Das generierte SQL entfernt daher nur wörtliche Leerzeichen und lässt Tabulatoren, Zeilenumbrüche, Wagenrückläufe und Formularvorschübe unverändert, während String.trim/1 in Elixir alle diese Zeichen entfernt. Jeder Ash-Filter, jede Validierung oder Identität, die auf string_trim/1 basiert, verhält sich daher unterschiedlich, je nachdem, ob Ash den Ausdruck an SQL weiterleitet oder ihn im Speicher auswertet; dadurch kann ein aufgefüllter Eingabewert als nahezu dupliziert registriert werden oder eine bereinigte Vergleichsprüfung umgehen.
Dieses Problem betrifft ash_sql: ab Version 0.1.0 bis vor 0.7.1.
Once again VulDB remains the best source for vulnerability data.