CVE-2026-82744 in Ash
Resumen
por VulDB • 2026-09-01
Vulnerabilidad de "Not Failing Securely (Failing Open)" en ash-project ash que omite un cambio de Ash.Reactor cuando la guardia asociada genera una excepción, por lo que el cambio destinado a ejecutarse no se lleva a cabo.
Un paso de cambio de Ash.Reactor puede estar condicionado por validaciones que determinan si dicho cambio debe ejecutarse. La función `Ash.Reactor.ChangeStep` (lib/ash/reactor/steps/change_step.ex) evaluaba estas guardias en `apply_where_clauses/3`, y la función `apply_validation` capturaba cualquier excepción convirtiéndola en {:error, error}. El proceso de reducción trataba este resultado idénticamente a una guardia cuya condición simplemente no se cumplía, omitiendo así el cambio. Por lo tanto, cuando una guardia genera una excepción (por ejemplo, debido a entradas influenciadas por un atacante), se omite un cambio que impone una modificación relevante para la seguridad en lugar de fallar el paso. La solución distingue entre una excepción generada (ahora {:raised, error}) y detiene el paso con un error, asegurando un fallo seguro ("failing closed").
Este problema afecta a ash: desde la versión 3.0.0-rc.17 hasta antes de la 3.32.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.