CVE-2026-77846 in ash_sqlite
要約
〜によって VulDB • 2026年08月30日
データクエリロジックにおける特殊要素の不適切な中和（Improper Neutralization of Special Elements in Data Query Logic）脆弱性がash-project ash_sqliteに存在し、get_path/2セグメントを制御できる攻撃者が、アプリケーションが決して公開しないネストされたJSON内部へトラバースすることで、プライベートまたは機密性の高い埋め込みフィールドを開示させることができます。
AshSqlite.SqlImplementationは、SQLiteのjson_extractパスを "$." <> Enum.join(right, ".") として構築するため、.、[、]、$を含む単一のセグメントがJSONパスを再解釈します（例: "private.secret" は1つのキー名ではなく2段階深くネストされます）。このパスはパラメータとしてバインドされるため、これはSQLではなくJSONパスの文法に限定された問題です。ユーザー入力がget_pathセグメント（一般的なフィールド選択パターン）に至る可能性のあるエンドポイントはすべて、意図して公開しなかったネスト値を読み取ることができます。
本問題は ash_sqlite に影響します：0.1.2-rc.0 未満のバージョンから 0.2.18 より前のバージョンまで。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.