CVE-2026-78230 in ash_ai정보

요약

\~에 의해 VulDB • 2026. 09. 08.

AshAi는 Ash의 읽기 작업을 언어 모델 도구 호출에 노출합니다. 이 읽기 도구는 (min, max, sum, avg)와 같은 집계 결과 유형을 받아들이며, 이는 명명된 필드 위에 ad-hoc한 `Ash.Query.Aggregate`를 생성하고 그 원시 값을 반환합니다.

Ash의 필드 정책은 반환되는 레코드에서 금지된 필드를 가립니다(이를 `%Ash.ForbiddenField{}`로 대체). 그러나 이러한 가려짐 처리는 집계 값에는 적용되지 않습니다. 따라서 도구 호출자는 집계를 요청함으로써 호출 주체의 필드 정책이 금지하는 필드를 읽을 수 있습니다. 특히 min/max는 실제 필드 값을 반환합니다. 여기서는 `public?`가 true이지만 필드 정책에 따라 각 주체별로 제한되는 민감한 PII와 같은 필드가 포함됩니다. 해당 도구의 기존 확인 로직은 필드가 공개되어 있는지 여부만 요구했으며, 이는 각 주체에 따른 필드 정책 권한 부여와는 별개의 차원입니다.

이 수정 사항에서는 집계된 필드를 리소스의 필드 정책에 대해 인증하므로, 사용자가 볼 수 없는 필드에 대한 집계가 거부되거나 해당 필드가 표시되는 행으로 범위가 제한됩니다.

본 이슈는 ash_ai: 0.1.0부터 1.0.3 미만 버전에 영향을 미칩니다.

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

책임이 있는

EEF

예약하다

2026. 08. 31.

모더레이션

수락

항목

VDB-399934

EPSS

0.00246

출처

Do you know our Splunk app?

Download it now for free!