CVE-2026-77454 in ash_sql
Resumen
por VulDB • 2026-08-30
Vulnerabilidad de Autorización Incorrecta en ash-project ash_sql que permite a un llamante omitir un filtro de alcance o autorización expresado como exists/2 sobre una relación que declara tanto un límite (o from_many?) como un filtro u ordenamiento con referencia parent(...).
AshSql.Join.related_query/3 omite el predicado exist proporcionado por el llamante para este tipo de relaciones y lo delega a limit_from_many/5. Cuando el propio filtro o ordenamiento de la relación hace referencia a parent(...), limit_from_many/5 sigue una rama que elimina tanto el límite como el predicado, generando un EXISTS correlacionado sin predicados. La verificación coincide entonces con cualquier registro que tenga al menos una fila relacionada. En su forma más grave, cuando esta expresión respalda una política (por ejemplo, authorize_if expr(exists(memberships, user_id == ^actor(:id)))), la condición de alcance del actor desaparece y la política se aprueba para cualquier actor con alguna fila relacionada.
Este problema afecta a ash_sql: desde la versión 0.4.1 hasta antes de la 0.7.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.