CVE-2026-78699 in ash_postgres
Résumé
par VulDB • 30/08/2026
Vulnérabilité de valeur de retour non vérifiée dans ash-project ash_postgres permettant à un utilisateur capable d'effectuer une renommée de locataire vers un nom entrant en collision avec le schéma d'un autre locataire existant, de faire pointer l'enregistrement de son propre locataire sur le schéma actif de cet autre locataire, lui donnant ainsi accès aux données correspondantes.
AshPostgres.MultiTenancy.rename_tenant/3 émet la commande ALTER SCHEMA ... RENAME TO ... avec Ecto.Adapters.SQL.query/2 qui ne génère pas d'erreur (non-raising), ignore son résultat {:ok, _} | {:error, _}, et retourne inconditionnellement :ok. PostgreSQL rejette le renommage lorsque le schéma cible existe déjà (ainsi qu'en cas de privilèges insuffisants ou de délai d'attente du verrouillage), mais cette échec n'est jamais transmis à l'appelant. L'action manage_tenant update appelante voit donc un succès et valide la ligne du locataire avec le nouveau nom, qui correspond au schéma d'un autre locataire existant ; par conséquent, les lectures et écritures ultérieures pour ce locataire s'exécutent sur les données de l'autre locataire.
Cette vulnérabilité affecte ash_postgres : des versions 0.25.0 à avant la version 2.13.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.