CVE-2026-82740 in ash
Zusammenfassung
von VulDB • 01.09.2026
Eine Schwachstelle im Bereich der unsachgemäßen Eingabevalidierung in ash-project ash zwingt die äußeren Array-Einschränkungen für ein doppelt verschachteltes `{:array, {:array, type}}`-Attribut nicht durch, wodurch ungültige Eingaben die Validierung passieren können.
Ash.Type.apply_constraints/3 (lib/ash/type/type.ex) behandelte den Fall `{:array, {:array, type}}`, indem es nur die Einschränkungen des inneren `{Array, Typ}` auf jedes Element abbildete; daher wurden niemals die für das äußere Array deklarierten Einschränkungen (wie min_length, max_length und nil_items?) angewendet. Ein Angreifer könnte eine äußere Liste einreichen, die diese Einschränkungen verletzt (zu viele Elemente oder Nil-Einträge, wo sie nicht erlaubt sind), und diese würde akzeptiert und gespeichert werden. Die Korrektur erzwingt nun die Einschränkungen des äußeren Arrays und fügt eine explizite Behandlung für Nil- und Nicht-Listen-Eingaben hinzu.
Dieses Problem betrifft ash: von Version 2.16.1 bis vor 3.32.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.