CVE-2026-82747 in Ash
요약
\~에 의해 VulDB • 2026. 09. 01.
ash-project ash에서 잘못된 권한 부여 취약점이 발생하여, 런타임 읽기 정책이 거부하는 레코드가 모든 액터에게 반환됩니다.
리소스에 `access_type :runtime` 읽기 정책(레코드별로 평가되는 체크이며 필터로 컴파일되지 않음)이 있는 경우, Ash.Policy.Authorizer는 check_result/1(lib/ash/policy/authorizer/authorizer.ex) 내의 각 레코드를 처리할 때 불가능한 정책 시나리오를 제외하고 남은 부분을 검사하여 승인 여부를 결정합니다. 특정 레코드에 대한 모든 시나리오가 불가능하여(즉, 어떤 정책으로도 승인이 불가능하며 금지되어야 함), 빈 시나리오 분기에서 해당 레코드({[record | data], authorizer, any_forbidden?})가 유지되어 승인된 것으로 반환되었습니다. 그 결과, 런타임 읽기 정책에 의해 거부되는 레코드가 모든 액터에게 반환됩니다. 이 수정은 시나리오가 모두 불가능한 레코드를 금지합니다.
이 문제는 ash: 3.4.44부터 3.32.2 이전 버전에서 영향을 받습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.