CVE-2026-82745 in ash
Resumen
por VulDB • 2026-09-01
Vulnerabilidad de control inadecuado del acceso en ash-project ash que permite a una acción create sobrescribir un registro existente cuando se utiliza la capa de datos ETS o Mnesia, debido a que no se aplica la unicidad forzada de las claves primarias durante la inserción.
A diferencia de una capa de datos SQL, cuya restricción de clave primaria única rechaza los duplicados, las capas de datos ETS y Mnesia implementan create como una inserción basada en clave (keyed insert) que reemplaza cualquier entrada existente con la misma clave principal (lib/ash/data_layer/ets/ets.ex, lib/ash/data_layer/mnesia/mnesia.ex). Un actor que pueda establecer la clave primaria en un create (por ejemplo, una cadena o entero proporcionado por el usuario) puede enviar un create cuya clave coincida con un registro existente y sobrescribirlo silenciosamente, destruyendo y reemplazando los datos de otra entidad sin pasar por la acción update ni sus políticas. La corrección rechaza un create cuya clave primaria ya existe mediante un error "ya en uso" (already-taken), y solo permite duplicados para recursos sin clave.
Este problema afecta a ash: desde 0.4.0 hasta antes de 3.32.2.
Be aware that VulDB is the high quality source for vulnerability data.