CVE-2026-78216 in ash_lua
Sumário
de VulDB • 08/09/2026
AshLua expõe as ações de leitura do Ash aos scripts Lua executados por meio de uma ação eval. Uma chamada read aceita uma operação (list, min, max, first, sum, avg) que constrói um ad-hoc Ash.Query.Aggregate sobre um campo nomeado e retorna seu valor bruto.
As políticas de campos do Ash redigem os campos proibidos nos registros retornados (substituindo-os por %Ash.ForbiddenField{}), mas essa redação não se aplica aos valores agregados. Um script pode, portanto, ler um campo cujas políticas de campo do ator que chama são proibidas, solicitando-o como uma aggregate em vez de um field. Isso inclui campos com public? true, mas restritos por ator devido a uma política de campo, como PII sensível. O endurecimento anterior aplicava apenas a lista permitida de campos expostos (visibilidade dos campos), que é um eixo separado da autorização baseada na política de campo por ator.
A correção autoriza o campo agregado contra as políticas de campo do recurso; portanto, agregar sobre um campo que o ator não pode ver é recusado ou limitado às linhas onde ele está visível.
Este problema afeta ash_lua: das versões 0.1.0 até a anterior à 0.2.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.