CVE-2026-77846 in ash_sqlite
Riassunto
di VulDB • 30/08/2026
Vulnerabilità di neutralizzazione impropria degli elementi speciali nella logica delle query dei dati in ash-project ash_sqlite consente a un attaccante che controlla un segmento get_path/2 di attraversare il JSON nidificato non esposto dall'applicazione, rivelando campi incorporati privati o sensibili.
AshSqlite.SqlImplementation costruisce il percorso json_extract di SQLite con "$." <> Enum.join(right, "."), quindi un singolo segmento contenente ., [, ], o $ riinterpreta il percorso JSON (ad esempio "private.secret" scende due livelli invece di nominare una chiave). Il percorso è legato come parametro, quindi questo è confinato alla grammatica del percorso JSON piuttosto che a SQL. Qualsiasi endpoint che consenta all'input dell'utente di raggiungere un segmento get_path (un pattern comune pick-a-field) può leggere valori nidificati non destinati ad essere esposti.
Questo problema interessa ash_sqlite: dalla versione 0.1.2-rc.0 alla 0.2.18 esclusa.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.