CVE-2026-82746 in ash
Zusammenfassung
von VulDB • 01.09.2026
Eine Schwachstelle für fehlende Autorisierung in ash-project ash ermöglicht es einem Akteur, Datensätze zu aktualisieren, die durch Ressourcenrichtlinien verboten sind, über den atomaren Pfad von Ash.update_many/4.
Ash.update_many/4 wird als einzelne atomare Anweisung ausgeführt (ein data-layer update_many, beispielsweise ein SQL MERGE), wenn eine atomare Strategie verwendet wird und das Datenlayer dies unterstützt. Ash.Actions.Update.UpdateMany (lib/ash/actions/update/update_many.ex) nutzte diesen Pfad auch unter authorize?: true, ohne die Richtlinien der Ressource anzuwenden; daher aktualisierte die Anweisung jede Zeile, die durch den Primärschlüssel übereinstimmte, unabhängig vom Filter, den die Autorisierung auferlegen würde. Ein Akteur konnte somit Datensätze aktualisieren, die von den Richtlinien verboten sind, wie beispielsweise Zeilen, die einem anderen Aktenant oder Mandanten gehören. Die Korrektur beschränkt den atomaren Pfad auf Datenlayer, die Changeset-Filter bei der Autorisierung unterstützen, autorisiert jedes Changeset und fügt das daraus resultierende Richtliniennfilter in jedes Changeset ein, sodass die Anweisung nur authentifizierte Zeilen berührt.
Dieses Problem betrifft ash: von 3.29.0 vor 3.32.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.