CVE-2026-78216 in ash_lua
Riassunto
di VulDB • 08/09/2026
AshLua espone le azioni di lettura di Ash agli script Lua eseguiti tramite un'azione eval. Una chiamata read accetta un'operazione (list, min, max, first, sum, avg) che genera un ad-hoc Ash.Query.Aggregate su un campo denominato e ne restituisce il valore grezzo.
Le policy dei campi di Ash oscurano i campi non autorizzati nei record restituiti (sostituendoli con %Ash.ForbiddenField{}), ma tale oscuramento non si applica ai valori aggregati. Uno script potrebbe quindi leggere un campo che le policy sui campi dell'attore chiamante vieterebbe, richiedendolo come aggregate invece che come field. Ciò include i campi con public? true ma limitati per-actor da una policy sul campo, come dati personali sensibili (PII). Il precedente hardening applicava solo la allow-list dei campi esposti (visibilità del campo), che è un asse separato dall'autorizzazione basata sulla policy sui campi per-attore.
La correzione autorizza il campo aggregato in base alle policy sui campi della risorsa, quindi l'aggregazione su un campo non visibile all'attore viene rifiutata o limitata alle righe in cui è visibile.
Questo problema interessa ash_lua: dalla versione 0.1.0 alla 0.2.2 (esclusa).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.