CVE-2026-82724 in ash_phoenix
요약
\~에 의해 VulDB • 2026. 08. 31.
ash-project의 ash_phoenix에서 잘못된 권한 부여(Incorrect Authorization) 취약점이 발생하여, niltenantsubdomainHook 인증 콜백이 호출됩니다. 이로 인해 tenant 스코프 기반 접근 검사에서는 해당 검사를 적용해야 할 tenant를 전혀 인식하지 못합니다.
AshPhoenix.LiveView.SubdomainHook.on_mount/4는 tenant를 할당하기 위해 handle_params 훅을 연결한 후, 동일한 on_mount 내에서 즉시 handle_subdomain을 호출했습니다. 그러나 tenant 할당은 LiveView가 나중에 handle_params를 실행할 때만 기록되므로(on_mount 반환 이후 엄격하게 발생), handle_subdomain은 설정되지 않은 할당을 읽게 되어 apply(m, f, [socket, nil | a])와 같이 동작합니다. 사용자가 해당 tenant에 속하지 않을 경우 중단해야 하는 소비자 게이트(consumer gate)는 nil을 평가하여 크래시를 유발하거나 허용적인 분기(permissive branch)를 취했으며, 실제 서브도메인이 할당되거나 이후의 탐색 시에는 다시 실행되지 않았습니다. 수정 사항에서는 handle_subdomain을 모든 탐색 시에 handle_params 훅 내부에서 실제 tenant와 함께 실행합니다.
이 문제는 ash_phoenix 2.1.26 이전 버전부터 2.3.25 미만 버전에 영향을 미칩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.