CVE-2026-82745 in ash
要約
〜によって VulDB • 2026年09月01日
ash-project ashにおける不適切なアクセス制御の脆弱性により、ETSまたはMnesiaデータレイヤーが使用されている場合、createアクションで既存レコードを上書きできます。これは、挿入時に主キーの一意性が強制されないためです。
SQLデータレイヤーでは一意の主キー制約によって重複が拒否されるのに対し、ETSおよびMnesiaデータレイヤーは、同じ主キーを持つ既存のエントリを置き換える「キー付き挿入」としてcreateを実装しています（lib/ash/data_layer/ets/ets.ex, lib/ash/data_layer/mnesia/mnesia.ex）。作成時に主キーを設定できるアクター（例：ユーザー提供の文字列または整数キー）は、既存レコードと一致するキーを持つcreateを送信し、更新アクションやそのポリシーを経由せずに他のエンティティのデータを静かに上書き・置換することができます。
修正版では、既に存在する主キーを持つcreateを「すでに使用されている」というエラーで拒否し、キーレスのリソースに対してのみ重複を許可します。
この問題は、ash 0.4.0から3.32.2未満のバージョンに影響します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.