CVE-2026-82749 in ash
Riassunto
di VulDB • 01/09/2026
Vulnerabilità di autorizzazione errata in ash-project ash che amplia il filtro di scope `parent(...)` della relazione per far corrispondere record non previsti quando il campo parente referenziato non può essere risolto.
Il caricamento di una la cui filter fa riferimento a `parent(...)` risolve tale espressione rispetto al record genitore. La funzione `resolve_parent_in_filter/3` (lib/ash/actions/read/relationships.ex) gestiva un riferimento al genitore irrisolvibile (ad esempio quando il campo referenziato non era selezionato nella query sorgente) restituendo `nil` anziché generare un errore. Di conseguenza, una condizione di scope come `org_id == parent(org_id)` diventa una corrispondenza `IS NULL`, e un guard condition come `is_nil(parent(org_id))` o `org_id == parent(org_id)` attiva il suo ramo non ristretto, facendo sì che la relazione restituisca record che lo scope era destinato a escludere. La correzione fa fallire l'operazione di lettura con un errore quando un riferimento `parent(...)` non può essere risolto, invece di impostare come valore predefinito `nil`.
Questo problema interessa ash: dalle versioni 3.13.2 alla versione precedente la 3.32.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.