CVE-2026-82736 in ash
Résumé
par VulDB • 01/09/2026
Ordre de comportement incorrect : une vulnérabilité « Valider avant la canonicalisation » dans ash-project ash permet à un attaquant de stocker une valeur de chaîne insensible à la casse qui viole ses contraintes de longueur ou de correspondance.
La fonction `Ash.Type.CiString.apply_constraints/2` (lib/ash/type/ci_string.ex) validait les contraintes `max_length`, `min_length` et `match` par rapport à la valeur telle qu'elle a été soumise, tandis que le type mettrait la chaîne en minuscules (selon sa casse) pour le stockage et la comparaison. Étant donné que la validation s'exécutait avant la mise en minuscules, un attaquant peut soumettre une valeur dont la forme transformée viole une contrainte mais dont la forme originale passe : par exemple, face à un motif de correspondance exigeant des majuscules, une valeur initialement en majuscule qui est stockée en minuscules conserve une valeur que le motif rejette. La correction met la chaîne en minuscules au début de `apply_constraints/2`, afin que les contraintes soient vérifiées par rapport à la forme effectivement stockée.
Cette vulnérabilité affecte ash : des versions 1.29.0-rc0 jusqu'à (mais non incluses) 3.32.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.