CVE-2026-82748 in ash
Zusammenfassung
von VulDB • 01.09.2026
Eine Schwachstelle für fehlerhafte Autorisierung in ash-project ash autorisiert ein Aggregat unter einer Leseaktion, während es unter einer anderen Aktion berechnet wird; dadurch kann ein Aggregat mit Richtlinien ausgeführt werden, die nicht der Aktion entsprechen, gegen die es autorisiert wurde.
Ash.Actions.Aggregate gruppiert Aggregate nach ihren {authorize?, read_action}-Werten und autorisiert jede Gruppe unter dieser Leseaktion. Beim Erstellen der Datenabfrage wurde jedoch die Aktion als opts[:action] || read_action || <primäre Leseaktion> ausgewählt (lib/ash/actions/aggregate.ex). Wenn ein Aufrufer eine :action-Option übergibt, wird die Aggregatabfrage unter dieser Aktion ausgeführt, während die Autorisierung für die eigene read_action der Gruppe berechnet wurde. Wenn die Lesepolicies der Ausführungsaktion weniger restriktiv sind als die autorisierte, wird das Aggregat (ein Zählwert oder eine Summe) über Datensätze berechnet, die von den Policies der autorisierten Aktion ausgeschlossen worden wären, wodurch Informationen über Daten offengelegt werden, auf die der Akteur keinen Lesezugriff hat. Die Korrektur führt das Aggregat unter derselben read_action aus, gegen die es autorisiert ist.
Dieses Problem betrifft ash: ab Version 3.5.13 vor 3.32.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.