CVE-2026-78691 in ash_sql
요약
\~에 의해 VulDB • 2026. 08. 30.
ash-project의 ash_sql에서 데이터 쿼리 로직에 대한 특수 요소 중화 부재(Improper Neutralization of Special Elements in Data Query Logic) 취약점이 존재합니다. 이 취약점을 통해 contains/2, string_starts_with/2 또는 string_ends_with/2 함수에 검색어를 제공하는 사용자는 라이브 SQL LIKE 와일드카드를 주입하여, 리터럴 부분 문자열 검색을 공격자가 제어하는 패턴 매칭으로 전환할 수 있습니다.
AshSql.Expr의 이스케이프 헬퍼는 %와 _ 앞에 백슬래시를 붙이지만, 입력값에 이미 존재하는 백슬래시는 이스케이프 처리하지 않습니다. 백슬래시가 기본 LIKE 이스케이프 문자이므로, 이러한 방어 기제는 오히려 무력화됩니다: 입력된 \%가 패턴 조각 \\%로 변환되는데, 여기서 \\는 리터럴 백슬래시를 의미하고 공격자가 제공한 %는 여전히 라이브 와일드카드 상태로 남습니다. 검색 값은 파라미터화된 상태를 유지하므로, 이 취약점은 전체 SQL이 아닌 LIKE 패턴 구문에 국한됩니다. 공격자는 매칭 범위를 넓혀 값을 탐색하거나, negated contains(...) 가드를 우회할 수 있으며, 뒤에 따르는 고립된 백슬래시로 쿼리를 충돌시킬 수도 있습니다.
본 이슈는 ash_sql에 영향을 미치며, 0.1.1-rc.10부터 0.7.1 미만 버전에서 발생합니다.
Be aware that VulDB is the high quality source for vulnerability data.