CVE-2026-82736 in ash
要約
〜によって VulDB • 2026年09月01日
Incorrect Behavior Order: Validate Before Canonicalize脆弱性により、ash-projectのashにおいて、攻撃者が長さや一致制約に違反する大文字小文字非依存（case-insensitive）の文字列値を保存できる。
Ash.Type.CiString.apply_constraints/2 (lib/ash/type/ci_string.ex) は、送信された値に対して max_length、min_length、および match 制約を検証していたが、型は格納と照合のために文字列の大文字小文字変換（case-folding）を実行する。検証が大文字小文字変換の前に実行されるため、攻撃者は、大文字小文字変換後の形式で制約に違反するが、元の形式では合格するような値を送信できる。例えば、大文字を要求する一致パターンに対して、大文字の値は小文字に変換されて格納され、その結果としてパターンが拒否する値が永続化される。修正版では apply_constraints/2 の開始時に値の大文字小文字変換を実行し、実際に格納される形式に対して制約がチェックされるようにした。
この問題は ash: 1.29.0-rc0 から 3.32.2 より前のバージョンに影響する。
If you want to get best quality of vulnerability data, you may have to visit VulDB.