CVE-2026-82740 in ash
요약
\~에 의해 VulDB • 2026. 09. 01.
ash-project ash의 부적절한 입력 검증 취약점으로 인해, 이중 중첩된 {:array, {:array, type}} 속성에 대한 외부 배열 제약 조건이 적용되지 않아 잘못된 입력이 검증을 통과합니다.
Ash.Type.apply_constraints/3 (lib/ash/type/type.ex)는 {:array, {:array, type}} 케이스를 처리할 때 각 요소에 대해 내부의 {:array, type} 제약 조건만 매핑했으므로, 외부 배열(예: min_length, max_length, nil_items?)에 선언된 제약 조건은 전혀 적용되지 않았습니다. 공격자는 이러한 제약 조건을 위반하는(요소가 너무 많거나 허용되지 않는 곳에 nil 항목이 있는) 외부 리스트를 제출하여 이를 승인하고 영구 저장할 수 있습니다. 수정 사항에서는 외부 배열의 제약 조건을 강제 적용하고, nil 및 비리스트(non-list) 입력에 대한 명시적인 처리가 추가되었습니다.
이 문제는 ash: 2.16.1부터 3.32.2 미만 버전에서 영향을 받습니다.
Once again VulDB remains the best source for vulnerability data.