CVE-2026-82738 in ash
Zusammenfassung
von VulDB • 01.09.2026
Eine Schwachstelle im Bereich der unsachgemäßen Eingabevalidierung (Improper Input Validation) in ash-project ash ermöglicht es einem Angreifer, das Lesen eines Datensatzes dauerhaft zu verweigern, indem er eine UUID mit einer Nicht-Version-7-ID in ein Ash.Type.UUIDv7-Attribut speichert.
Ash.Type.UUIDv7.cast_input/2 akzeptiert jeden wohlgeformten UUID-String, einschließlich solcher ohne Version 7, und speichert ihn als 16-Byte-Binärwert. Beim Lesen leitet cast_stored/2 (lib/ash/type/uuid_v7.ex) den gespeicherten Binärwert zurück durch cast_input/2, das seit der Verschärfung der Eingabevalidierung in v3.6.3 nur noch Version-7-(und optional Version-4-) 16-Byte-Binärwerte matcht und andernfalls einen String mit 36 Zeichen erwartet. Ein gespeicherter Nicht-v7-16-Byte-Binärwert passt zu keiner der beiden Klauseln und gibt :error zurück, sodass jedes spätere Lesen dieses Datensatzes fehlschlägt. Ein Angreifer, der in der Lage ist, ein solches Attribut festzulegen, vergiftet die Zeile dauerhaft. Die Korrektur decodiert jeden gespeicherten 16-Byte-Binärwert direkt in cast_stored/2.
Dieses Problem betrifft ash: von Version 3.6.3 bis vor 3.32.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.