CVE-2026-82746 in ash
요약
\~에 의해 VulDB • 2026. 09. 01.
ash-project의 ash에서 권한 부여 누락 취약점이 발견되어, 공격자가 Ash.update_many/4의 원자적 경로를 통해 리소스 정책으로 금지된 레코드를 업데이트할 수 있습니다.
Ash.update_many/4는 원자적 전략이 사용되고 데이터 계층이 이를 지원할 때 단일 원자 문(예: SQL MERGE와 같은 데이터 계층의 update_many)으로서 실행됩니다. Ash.Actions.Update.UpdateMany(lib/ash/actions/update/update_many.ex)은 authorize?: true 하에서도 해당 경로를 취했지만 리소스의 정책을 적용하지 않았으므로, 이 문은 권한 부여가 부과할 정책 필터와 무관하게 기본 키로 일치하는 모든 행을 업데이트했습니다. 따라서 공격자는 다른 액터나 테넌트에 속한 행과 같이 정책에서 금지된 레코드를 업데이트할 수 있었습니다.
이 수정사항은 원자적 경로를 인증 시 변경 세트(filter)를 지원하는 데이터 계층으로 제한하고, 각 변경 세트를 권한 부여하며, 결과적인 정책 필터를 각 변경 세트로 병합하여 문이 승인된 행에만 영향을 미치도록 합니다.
본 이슈는 ash 3.29.0부터 3.32.2 미만 버전에서 발생합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.