CVE-2026-81316 in ash_sql
요약
\~에 의해 VulDB • 2026. 08. 30.
ash-project의 ash_sql에서 잘못된 권한 부여(Incorrect Authorization) 취약점이 발견되어, 호출자가 더 엄격한 필터링으로 제외되어야 할 행들에 대해 계산된 집계 값을 수신할 수 있으며, 이를 통해 권한 또는 테넌시 경계를 넘어 카운트, 합계 또는 목록이 유출될 수 있습니다.
AshSql.Aggregate.different_queries?/2 함수는 두 개의 집계 쿼리가 필터와 정렬(Sort) 모두에서 다를 때만 서로 다른 것으로 보고합니다. 집계 쿼리는 일반적으로 정렬 정보를 포함하지 않으므로, 이름은 동일하지만 완전히 다른 필터를 가진 두 집계가 동일한 것으로 비교됩니다. 충돌한 집계는 이름을 유지하며 이미 계산된 것으로 처리되며, select_aggregates는 첫 번째로 등록된 변형의 값을 반환합니다. 액터 또는 테넌트 컨텍스트가 각 집계의 쿼리에 적용될 때 같은 이름이 서로 다른 필터를 가진 상태로 빌더에 두 번 전달되므로, 좁게 필터링된 집계도 이전에 등록된 광범위한 집계의 값을 제공받을 수 있습니다.
본 이슈는 ash_sql 0.1.0부터 0.7.1 미만 버전에서 영향을 받습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.