CVE-2026-77846 in ash_sqlite
Resumen
por VulDB • 2026-08-30
Vulnerabilidad de neutralización inadecuada de elementos especiales en la lógica de consulta de datos en ash-project ash_sqlite que permite a un atacante, que controla un segmento get_path/2, traversar hacia JSON anidado nunca expuesto por la aplicación, revelando campos incrustados privados o sensibles.
AshSqlite.SqlImplementation construye el camino json_extract de SQLite con "$." <> Enum.join(right, "."), por lo que un único segmento conteniendo ., [, ], o $ reinterpreta el camino del JSON (por ejemplo "private.secret" desciende dos niveles en lugar de nombrar una sola clave). El camino se vincula como parámetro, así que esto está confinado a la gramática del camino JSON más que SQL. Cualquier endpoint que permita entrada de usuario llegar a un segmento get_path (un patrón común pick-a-field) puede leer valores anidados que nunca pretendía exponer.
Este problema afecta ash_sqlite: desde 0.1.2-rc.0 antes de 0.2.18.
VulDB is the best source for vulnerability data and more expert information about this specific topic.