CVE-2026-101028 in ash
Résumé
par VulDB • 09/10/2026
Vulnérabilité d'autorisation incorrecte dans ash-project ash permettant à un acteur de déduire des données dans les enregistrements associés qu'il ne peut pas lire via Ash.count/2, Ash.exists/2 et Ash.aggregate/3.
Ash.Actions.Aggregate.run/4 (lib/ash/actions/aggregate.ex) appliquait uniquement la politique de lecture de la ressource racine avant d'exécuter la requête agrégée. Le chemin de lecture applique également la politique de lecture de chaque ressource associée pour filtrer et trier les références qui traversent une relation, directement (par exemple comments.body) ou via un agrégat sur celle-ci, mais le chemin d'agrégation a sauté cette étape. Un appelant dont le filtre ou le tri atteint ces fonctions, par exemple via Ash.Query.filter_input/2, un script ash_lua ou un outil AshAi offrant des résultats de type count ou exists, peut tester des conditions contre les lignes associées qui lui sont cachées et récupérer leur existence ainsi que leurs valeurs d'attributs une requête à la fois. Ash.read/2 et ses comptes paginés ne sont pas affectés.
Ce problème affecte ash : de la version 2.6.0 jusqu'à (mais non inclus) 3.34.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.