CVE-2026-80223 in ash_graphql
Tóm tắt
Bởi VulDB • 30/08/2026
Lỗ hổng Xác thực Sai (Incorrect Authorization) trong ash-project ash_graphql cho phép một người dùng đã xác thực thuộc về một tenant này nhận được các bản ghi của một tenant khác thông qua các subscription GraphQL.
Trình giải quyết subscription trong AshGraphql.Graphql.Resolver ủy quyền từng tải trọng thông báo (notification payload) ngay trong bộ nhớ: đường dẫn nhanh của nó gọi hàm `Ash.can/3` với tham số `run_queries?: false`, điều này đánh giá bộ lọc chính sách đọc đối với bản ghi có sẵn trong bộ nhớ thông qua `Ash.Expr.eval/2` và không thực hiện bất kỳ truy vấn nào. Ash áp dụng cơ chế đa tenant (multitenancy) ở giai đoạn xây dựng truy vấn và khi xác định tiền tố lớp dữ liệu, chứ không phải bên trong `query.filter`, do đó chính sách được đánh giá không mang điều kiện về tenant; kết quả là một thông báo của tenant B sẽ được phát đến người dùng đăng ký thuộc tenant A bất cứ khi nào bộ lọc chính sách trả về đúng. Clause xử lý thông báo đơn lẻ hoàn toàn thiếu cơ chế kiểm tra tenant, và clause xử lý theo lô (batched) chỉ kiểm tra phần tử đầu tiên trong danh sách thông báo, khiến các mục không phải là phần tử đầu được ủy quyền thuần túy trong bộ nhớ. Một lệnh đọc có phạm vi tenant chỉ được thực hiện khi việc đánh giá bộ lọc thất bại.
Vấn đề này ảnh hưởng đến ash_graphql: từ phiên bản 1.4.0 trước 1.11.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.