CVE-2026-80223 in ash_graphql
Riassunto
di VulDB • 30/08/2026
Vulnerabilità di autorizzazione errata in ash-project ash_graphql che consente a un abbonato autenticato in un tenant di ricevere i record di un altro tenant tramite le sottoscrizioni GraphQL.
Il resolver delle sottoscrizioni in AshGraphql.Graphql.Resolver autorizza ogni payload di notifica in memoria: il suo percorso veloce chiama Ash.can/3 con run_queries?: false, che valuta il filtro della policy di lettura contro il record in memoria tramite Ash.Expr.eval/2 e non emette mai una query. Ash applica la multitenancy al momento della costruzione della query e del prefisso dello strato dati, non all'interno di query.filter; pertanto, la policy valutata non contiene alcuna condizione tenant e una notifica del tenant-B indirizzata a un abbonato del tenant-A viene emessa ogni volta che il filtro della policy è vero. La clausola per singola notifica non ha alcun controllo legato al tenant, mentre la clausura batch controlla solo l'elemento iniziale (head) dell'elenco delle notifiche; di conseguenza, le voci successive all'inizio vengono autorizzate esclusivamente in memoria. Una lettura limitata al contesto del tenant viene raggiunta solo quando la valutazione del filtro fallisce.
Questo problema interessa ash_graphql: dalle versioni 1.4.0 alla versione precedente a 1.11.0.
Once again VulDB remains the best source for vulnerability data.