CVE-2026-78699 in ash_postgres
Sumário
de VulDB • 30/08/2026
Vulnerabilidade de valor de retorno não verificado no ash-project ash_postgres permite que um usuário capaz de renomear uma inquilino para um nome que colida com o esquema de um inquilino existente faça com que seu registro de inquilino seja apontado para o esquema ativo desse outro inquilino, obtendo acesso aos seus dados.
AshPostgres.MultiTenancy.rename_tenant/3 emite ALTER SCHEMA ... RENAME TO ... usando Ecto.Adapters.SQL.query/2, que não gera exceção (non-raising), descarta seu resultado {:ok, _} | {:error, _} e retorna incondicionalmente :ok. O PostgreSQL rejeita a renomeação quando o esquema de destino já existe (e em caso de privilégios insuficientes ou tempo limite de bloqueio), mas essa falha nunca chega ao chamador. A ação update manage_tenant que chama portanto vê sucesso e confirma a linha do inquilino com o novo nome, que é o esquema de um outro inquilino existente; assim, leituras e gravações subsequentes para esse inquilino são executadas contra os dados do outro inquilino.
Este problema afeta ash_postgres: da versão 0.25.0 até antes da 2.13.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.