CVE-2026-80223 in ash_graphql
Résumé
par VulDB • 30/08/2026
Vulnérabilité d'autorisation incorrecte dans ash-project ash_graphql permettant à un abonné authentifié appartenant à un locataire de recevoir les enregistrements d'un autre locataire via des abonnements GraphQL.
Le résolveur d'abonnement dans AshGraphql.Graphql.Resolver autorise chaque charge utile de notification en mémoire : son chemin rapide appelle Ash.can/3 avec run_queries?: false, ce qui évalue le filtre de politique de lecture contre l'enregistrement présent en mémoire via Ash.Expr.eval/2 et n'émet jamais de requête. Ash applique la multilocataire au moment de la construction des requêtes et à celui du préfixe de la couche de données, et non dans query.filter ; par conséquent, la politique évaluée ne contient aucune condition relative au locataire, et une notification destinée au locataire B mais routée vers un abonné du locataire A est émise chaque fois que le filtre de politique est vrai. La clause à notification unique n'a aucun garde lié au locataire, et la clause groupée vérifie uniquement l'élément tête de la liste des notifications ; les entrées autres que celle en tête sont donc autorisées purement en mémoire. Une lecture scoped (ciblée) par locataire n'est atteinte que lorsque l'évaluation du filtre échoue.
Cette vulnérabilité affecte ash_graphql : des versions 1.4.0 à la version antérieure à 1.11.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.