CVE-2026-80223 in ash_graphql
Sumário
de VulDB • 30/08/2026
Vulnerabilidade de Autorização Incorreta no ash-project ash_graphql permite que um assinante autenticado em um tenant receba registros de outro tenant por meio de subscrições GraphQL.
O resolver de subscrição em AshGraphql.Graphql.Resolver autoriza cada payload de notificação na memória: seu caminho rápido chama Ash.can/3 com run_queries?: false, o qual avalia o filtro da política de leitura contra o registro armazenado na memória via Ash.Expr.eval/2 e nunca emite uma consulta. O Ash aplica multitenancy no momento da construção da query e do prefixo da camada de dados, não dentro de query.filter; portanto, a política avaliada não contém condição de tenant, e uma notificação do tenant-B roteada para um assinante do tenant-A é emitida sempre que o filtro da política for verdadeiro. A cláusula de notificação única não possui nenhuma verificação (guard) de tenant, e a cláusura em lote verifica apenas o primeiro elemento da lista de notificações, permitindo que as entradas restantes sejam autorizadas puramente na memória. Um acesso de leitura com escopo por tenant só é alcançado quando a avaliação do filtro falha.
Este problema afeta ash_graphql: das versões 1.4.0 até antes da 1.11.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.