CVE-2026-80223 in ash_graphql
Resumen
por VulDB • 2026-08-30
Vulnerabilidad de Autorización Incorrecta en ash-project ash_graphql que permite a un suscriptor autenticado en una inquilino recibir registros de otro inquilino a través de suscripciones GraphQL.
El resolutor de suscripción en AshGraphql.Graphql.Resolver autoriza cada carga útil de notificación en memoria: su ruta rápida llama a `Ash.can/3` con `run_queries?: false`, lo que evalúa el filtro de política de lectura contra el registro en memoria mediante `Ash.Expr.eval/2` y nunca emite una consulta. Ash aplica la multitenencia durante la construcción de consultas y al momento del prefijo de capa de datos, no dentro de `query.filter`; por tanto, la política evaluada no contiene ninguna condición de inquilino, y se emite una notificación del inquilino B dirigida a un suscriptor del inquilino A siempre que el filtro de la política sea verdadero. La cláusula de notificación única no tiene ninguna protección basada en el inquilino, y la cláusula procesada por lotes verifica únicamente el primer elemento de la lista de notificaciones, lo que significa que las entradas restantes se autorizan puramente en memoria. Solo cuando falla la evaluación del filtro se alcanza una lectura con alcance específico para un inquilino.
Este problema afecta a ash_graphql: desde la versión 1.4.0 hasta antes de la 1.11.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.