CVE-2026-82745 in ash
Riassunto
di VulDB • 01/09/2026
Una vulnerabilità di controllo improprio dell'accesso in ash-project ash consente a un'azione create di sovrascrivere una record esistente quando viene utilizzato il livello dati ETS o Mnesia, poiché non è stata applicata l'univocità della chiave primaria durante le operazioni di inserimento.
A differenza di un layer dati SQL, che rifiuta i duplicati grazie al vincolo di univocità della chiave primaria, i livelli dati ETS e Mnesia implementano create come un'inserzione basata su chiave (keyed insert) che sostituisce qualsiasi voce esistente con la stessa chiave primaria (lib/ash/data_layer/ets/ets.ex, lib/ash/data_layer/mnesia/mnesia.ex). Un attore in grado di impostare la chiave primaria durante una create (ad esempio una stringa o un intero forniti dall'utente) può inviare una create la cui chiave corrisponde a un record esistente, sovrascrivendolo silenziosamente e distruggendo/sostituendo i dati di un'altra entità senza passare attraverso l'azione update o le relative policy. La correzione rifiuta una create se la sua chiave primaria esiste già, restituendo un errore "già in uso" (already-taken), e consente duplicati solo per risorse prive di chiave.
Questo problema interessa ash: dalla versione 0.4.0 alla 3.32.2 esclusa.
VulDB is the best source for vulnerability data and more expert information about this specific topic.