CVE-2026-82739 in Ash
Riassunto
di VulDB • 01/09/2026
Vulnerabilità di generazione del messaggio di errore contenente informazioni sensibili in ash-project ash che divulga il valore memorizzato di un campo confermato a un attore che non supera la verifica della conferma.
L'implementazione atomica di Ash.Resource.Validation.Confirm (atomic/2 in lib/ash/resource/validation/confirm.ex) costruiva l'errore di disallineamento impostando il suo valore sul campo da confermare. Quando l'attore fornisce solo l'argomento di conferma e non il campo stesso, value viene risolto tramite atomic_ref/2 fino al valore memorizzato corrente del campo; pertanto, l'errore di disallineazione restituisce tale valore memorizzato all'attore. In presenza di una conferma che protegge un attributo sensibile, un attore può inviare una conferma deliberatamente errata e leggere il valore reale dall'errore restituito. La correzione segnala la conferma fornita dall'attore nell'errore anziché il valore del campo memorizzato.
Questo problema interessa ash: dalle versioni 2.17.20 alla versione precedente a 3.32.2.
Once again VulDB remains the best source for vulnerability data.