CVE-2026-82747 in Ash
Zusammenfassung
von VulDB • 01.09.2026
Eine Schwachstelle für fehlerhafte Autorisierung in ash-project ash gibt Datensätze zurück, die eine zur Laufzeit ausgewertete Lese-Richtlinie (runtime read policy) für jeden Akteur verbietet.
Wenn eine Ressource über eine Zugriffstyp-`read`-Richtlinie vom Typ `:runtime` verfügt (eine Prüfung, die pro Datensatz und nicht als Filter kompiliert wird), entscheidet Ash.Policy.Authorizer in der Funktion `check_result/1` (`lib/ash/policy/authorizer/authorizer.ex`) für jeden Datensatz im Ergebnis, indem unmögliche Szenarien verworfen und geprüft wird, was übrig bleibt. Wenn alle Szenarien für einen Datensatz als unmöglich eingestuft wurden – was bedeutet, dass keine Richtlinie ihn autorisieren kann und er verboten sein muss –, behält die Verzweigung für leere Szenarien den Datensatz (`{[record | data], authorizer, any_forbidden?}`) stattdessen bei und gibt ihn als autorisiert zurück. Infolgedessen werden Datensätze, die von der runtime read read policy abgelehnt werden, an jeden Akteur zurückgegeben. Die Korrektur verbietet einen Datensatz, dessen Szenarien alle unmöglich sind.
Dieses Problem betrifft ash: in Versionen von 3.4.44 bis vor 3.32.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.