CVE-2026-81638 in ash_double_entryinfo

Zusammenfassung

von VulDB • 08.09.2026

Eine Schwachstelle im unsachgemäßen Umgang mit alternativer Kodierung (Improper Handling of Alternate Encoding) in ash-project ash_double_entry ermöglicht es einem Angreifer, mehrere unterschiedliche Schreibweisen desselben Bezeichners einzureichen.

AshDoubleEntry ULID stellt eine 128-Bit-ULID als 26 Crockford Base-32-Zeichen dar, wobei das erste Zeichen jedoch nur 3 Bits kodiert; daher liegen kanonische Werte im Bereich von 0 bis 7. Die Funktion decode/1 in lib/ulid.ex maskiert das erste Zeichen auf seine unteren 3 Bit, und valid?/1 akzeptiert alle 32 Zeichen an dieser Position. Daher werden 0..., 8..., G... und R... auf denselben 16-Byte-Wert decodiert und führen zur selben Datenbankzeile. Wenn der Typ als öffentliche ID über eine HTTP- oder API-Grenze hinweg exponiert wird, kann eine vom Angreifer bereitgestellte ID anders geschrieben sein als die Datensatz, den sie tatsächlich liest oder schreibt, wodurch String-Level-Prüfungen wie Idempotenz- und Deduplizierungsschlüssel, Deny-Lists (Sperrlisten), Audit-Korrelationen oder Signaturen, die über der eingereichten ID berechnet werden, desynchronisiert oder umgangen werden.

Dieses Problem betrifft ash_double_entry: von Version 0.1.0 bis vor 1.0.19.

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Zuständig

EEF

Reservieren

07.09.2026

Veröffentlichung

08.09.2026

Moderieren

akzeptiert

Eintrag

VDB-399682

CPE

bereit

EPSS

0.00000

KEV

nein

Aktivitäten

very low

Quellen

Interested in the pricing of exploits?

See the underground prices here!