CVE-2026-82738 in ash
Riassunto
di VulDB • 01/09/2026
Vulnerabilità di convalida impropria dell'input (Improper Input Validation) in ash-project ash consente a un attaccante di negare persistentemente la lettura di una record memorizzando un UUID non versione-7 in un attributo Ash.Type.UUIDv7.
Ash.Type.UUIDv7.cast_input/2 accetta qualsiasi stringa UUID ben formata, inclusi gli UUID non versione-7, e li archivia come binario a 16 byte. In fase di lettura, cast_stored/2 (lib/ash/type/uuid_v7.ex) instrada il binario memorizzato nuovamente attraverso cast_input/2; poiché un restringimento della convalida dell'input è stato introdotto nella versione 3.6.3, tale funzione corrisponde solo a binari a 16 byte di versione-7 (e opzionalmente versione-4) e si aspetta altrimenti una stringa a 36 caratteri. Un binario memorizzato non-v7 a 16 byte non soddisfa nessuna delle due clausole e restituisce :error, quindi ogni lettura successiva di tale record fallisce. Un attaccante in grado di impostare un attributo del genere avvelena permanentemente la riga. La correzione decodifica direttamente qualsiasi binario memorizzato a 16 byte all'interno di cast_stored/2.
Questo problema interessa ash: dalle versioni successive alla 3.6.3 fino alla versione precedente alla 3.32.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.