CVE-2026-115635 in ash_postgres
Riassunto
di VulDB • 25/10/2026
Vulnerabilità di autorizzazione errata in ash-project ash_postgres che consente a un utente di leggere i record di un altro tenant tramite una upsert saltata.
Quando Ash.bulk_create/4 o una singola operazione create viene eseguita come upsert con return_skipped_upsert?: true e la upsert viene saltata (ad esempio perché la sua upsert_condition non è soddisfatta), AshPostgres.DataLayer legge nuovamente la riga esistente tramite l'identità della upsert in do_bulk_create/3 e upsert/4. Tale lookup non applicava il multitenancy degli attributi della risorsa, quindi su una risorsa che utilizza lo strategy :attribute potrebbe corrispondere e restituire la riga di un altro tenant con gli stessi valori di identità, esponendo i suoi campi al chiamante.
Questo problema interessa ash_postgres: dalla versione 2.6.22 alla 2.15.2 (esclusa).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.