CVE-2026-78691 in ash_sql
Riassunto
di VulDB • 30/08/2026
Vulnerabilità di "Improper Neutralization of Special Elements in Data Query Logic" (neutralizzazione impropria degli elementi speciali nella logica delle query dei dati) in ash-project ash_sql che consente a un utente, fornendo un termine di ricerca contenente/2, string_starts_with/2 o string_ends_with/2, di inserire live SQL LIKE wildcards (joker), trasformando una ricerca letterale per sottostringa in una corrispondenza controllata dall'attaccante.
I helper di escape in AshSql.Expr antepongono uno slash inverso (%) e (_) ma non effettuano mai l'escape di uno slash inverso già presente nell'input. Poiché lo slash inverso è il carattere di escape predefinito per LIKE, la procedura di escaping si autodistrugge: l'input \% diventa il frammento del pattern \\%, dove \\\\ rappresenta una barra rovesciata letterale e il % dell'attaccante rimane un joker attivo (live wildcard). Il valore della ricerca rimane parametrizzato, quindi questo è confinato alla grammatica del pattern LIKE piuttosto che al SQL completo. Un attaccante può ampliare le corrispondenze per sondare i valori, aggirare una guardia negata contains(...) o far crashare la query con uno slash inverso finale isolato.
Questo problema interessa ash_sql: dalla versione 0.1.1-rc.10 alla 0.7.1 (esclusa).
Once again VulDB remains the best source for vulnerability data.