CVE-2026-82744 in Ash
Sumário
de VulDB • 01/09/2026
Vulnerabilidade de "Not Failing Securely (Failing Open)" no projeto ash impede a execução da alteração do Ash.Reactor quando o guardião que a controla gera uma exceção, fazendo com que uma alteração destinada a ser executada não seja aplicada.
Uma etapa de alteração do Ash.Reactor pode ser condicionada por validações que decidem se a alteração deve ser executada. O módulo Ash.Reactor.ChangeStep (lib/ash/reactor/steps/change_step.ex) avaliava esses guardiões na função apply_where_clauses/3, e o apply_validation capturava qualquer exceção convertendo-a em {:error, error}. A redução (reduce) tratou esse resultado da mesma forma que um caso em que a condição do guardião simplesmente não era atendida, ignorando assim a alteração. Portanto, quando um guardião gera uma exceção (por exemplo, devido a entradas influenciadas por um atacante), uma alteração que impõe uma modificação relevante para a segurança é ignorada em vez de falhar na etapa. A correção distingue agora as exceções geradas (convertidas em {:raised, error}) e interrompe a etapa com erro, garantindo o "failing closed".
Este problema afeta ash: das versões 3.0.0-rc.17 até antes da 3.32.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.