CVE-2026-82749 in ash
Zusammenfassung
von VulDB • 01.09.2026
Eine Schwachstelle für fehlerhafte Autorisierung in ash-project ash erweitert den Filter zur Einschränkung der parent(...)-Beziehung, um unbeabsichtigte Datensätze zu erfassen, wenn das referenzierte Elternfeld nicht aufgelöst werden kann.
Das Laden einer Beziehung, deren Filter auf parent(...) verweist, löst diesen Ausdruck im Kontext des Elterndatensatzes auf. resolve_parent_in_filter/3 (lib/ash/actions/read/relationships.ex) behandelte eine nicht auflösbare Elternreferenz (z. B. wenn das referenzierte Feld in der Quelldatenabfrage nicht ausgewählt war) als nil, anstatt einen Fehler auszulösen. Ein Einschränkungspredikat wie org_id == parent(org_id) wird dadurch zu einer IS NULL-Übereinstimmung, und eine Bedingung wie is_nil(parent(org_id)) oder org_id == parent(org_id) aktiviert ihren uneingeschränkten Zweig, sodass die Beziehung Datensätze zurückgibt, die vom Geltungsbereich eigentlich ausgeschlossen werden sollten. Die Korrektur löst beim Lesen einen Fehler aus, wenn sich ein parent(...)-Verweis nicht auflösen lässt, anstatt standardmäßig nil zu verwenden.
Dieses Problem betrifft ash: ab Version 3.13.2 bis vor 3.32.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.