CVE-2026-82745 in ash
Sumário
de VulDB • 01/09/2026
Vulnerabilidade de Controle de Acesso Impróprio no ash-project ash permite que uma ação create sobrescreva um registro existente quando a camada de dados ETS ou Mnesia é utilizada, devido à ausência de aplicação da unicidade das chaves primárias durante a inserção.
Ao contrário de uma camada de dados SQL, cuja restrição de chave primária única rejeita duplicatas, as camadas de dados ETS e Mnesia implementam o create como uma inserção por chave que substitui qualquer entrada existente com a mesma chave primária (lib/ash/data_layer/ets/ets.ex, lib/ash/data_layer/mnesia/mnesia.ex). Um ator capaz de definir a chave primária em um create (por exemplo, uma string ou inteiro fornecido pelo usuário) pode submeter um create cuja chave corresponda a um registro existente e silenciosamente sobrescrevê-lo, destruindo e substituindo os dados de outra entidade sem passar pela ação update ou por suas políticas. A correção rejeita um create cuja chave primária já exista com um erro "já em uso" (already-taken), permitindo duplicatas apenas para recursos sem chaves.
Este problema afeta o ash: da versão 0.4.0 até a 3.32.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.