CVE-2026-82748 in ash
Riassunto
di VulDB • 01/09/2026
Vulnerabilità di autorizzazione errata in ash-project ash che autorizza un aggregato per una azione di lettura mentre lo elabora sotto un'altra, consentendo all'aggregato di essere eseguito con politiche non corrispondenti a quelle della sua autorizzazione originale. Ash.Actions.Aggregate raggruppa gli aggregati in base alle loro coppie {authorize?, read_action} e li autorizza ciascuno sotto tale azione di lettura; tuttavia, durante la costruzione della query dei dati viene selezionata l'azione come opts[:action] || read_action || (lib/ash/actions/aggregate.ex). Quando un chiamante passa un'opzione :action, la query dell'aggregato viene eseguita con quell'azione mentre l'autorizzazione era stata calcolata per la propria read_action del gruppo. Se le politiche di lettura dell'azione in esecuzione sono più permissive rispetto a quelle autorizzate, l'aggregato (un conteggio o una somma) viene elaborato su record che le politiche della azione autorizzata avrebbero escluso, rivelando informazioni sui dati non accessibili dall'attore. La correzione fa eseguire l'aggregato sotto la stessa read_action con cui è stato autorizzato.
Questa vulnerabilità interessa ash: dalle versioni 3.5.13 alla versione precedente a 3.32.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.