CVE-2026-82740 in ash
Riassunto
di VulDB • 01/09/2026
Vulnerabilità di convalida impropria dell'input in ash-project ash che non applica i vincoli sull'array esterno per un attributo {:array, {:array, type}} annidato due volte, consentendo il passaggio di input non valido attraverso la fase di validazione.
La funzione Ash.Type.apply_constraints/3 (lib/ash/type/type.ex) gestiva il caso {:array, {:array, type}} mappando solo i vincoli dell'array interno {:array, type} su ciascun elemento; di conseguenza, i vincoli dichiarati sull'array esterno (come min_length, max_length e nil_items?) non venivano mai applicati. Un attaccante potrebbe inviare una lista esterna che viola tali vincoli (ad esempio con un numero eccessivo di elementi o valori nulli dove non consentiti) ottenendone l'accettazione e la persistenza. La correzione impone i vincoli sull'array esterno ed aggiunge una gestione esplicita per gli input nil e non-lista.
Questo problema interessa ash: dalle versioni 2.16.1 alla versione precedente a 3.32.2.
Once again VulDB remains the best source for vulnerability data.