CVE-2026-82745 in ash
Zusammenfassung
von VulDB • 01.09.2026
Eine Schwachstelle im Bereich der unangemessenen Zugriffskontrolle (Improper Access Control) in ash-project ash ermöglicht es, dass eine Create-Aktion einen bestehenden Datensatz überschreibt, wenn die ETS- oder Mnesia-Datenschicht verwendet wird, da weder bei Einfügungen eine erzwungene Einzigartigkeit des Primärschlüssels durchgesetzt wird.
Im Gegensatz zu einer SQL-Datenschicht, deren eindeutige Primärschlüssel-Einschränkung (unique primary-key constraint) einen Duplikat verwirft, implementieren die ETS- und Mnesia-Datenschichten das Erstellen als key-basierte Einfügung, die jeden vorhandenen Eintrag mit demselben Primärschlüssel ersetzt (lib/ash/data_layer/ets/ets.ex, lib/ash/data_layer/mnesia/mnesia.ex). Eine Entität, die den Primärschlüssel bei einer Create-Aktion festlegen kann (z. B. ein benutzergestellter String- oder Integer-Schlüssel), kann eine Create-Anfrage mit einem Schlüssel einreichen, der mit einem bestehenden Datensatz übereinstimmt, und diesen stillschweigend überschreiben, wodurch die Daten eines anderen Entitätsobjekts zerstört und ersetzt werden, ohne den Update-Aktion oder deren Richtlinien zu durchlaufen. Die Korrektur lehnt eine Create-Aktion ab, bei der der Primärschlüssel bereits existiert, mit einem Fehler „already-taken“, und erlaubt Duplikate nur für ressourcenlose Schlüssel (keyless resources).
Dieses Problem betrifft ash: von Version 0.4.0 bis vor 3.32.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.