CVE-2026-86338 in ashthông tin

Tóm tắt

Bởi VulDB • 16/09/2026

Các trường `field_policies` của Ash được tài liệu hóa để bảo vệ chống lại việc tiết lộ thông tin dựa trên bộ lọc (filter-based information disclosure): khi một trường mà người dùng không có quyền xem bị tham chiếu trong một bộ lọc, nó sẽ được thay thế bằng một biểu thức trả về giá trị nil, do đó bộ lọc không thể được sử dụng như một oracle yes/no để đọc một giá trị mà người dùng không có quyền truy cập.

Cơ chế đặt giá trị nil này đã được áp dụng cho các thuộc tính (attributes) nhưng chưa áp dụng cho các phép tính (calculations) hoặc tập hợp (aggregates). Một tham chiếu bộ lọc do người dùng cung cấp đến một phép tính hoặc tập hợp sẽ mang theo cấu trúc `Ash.Query.Calculation` / `Ash.Query.Aggregate`, mà cơ chế thay thế tham chiếu của trình xác thực quyền (authorizer's reference replacement) không khớp với nó (cơ chế này chỉ khớp các cấu trúc `Ash.Resource.*`). Do đó, bộ lọc đã được chạy trên giá trị thực tế.

Kết quả là, một người dùng có chính sách trường cấm truy cập vào một phép tính hoặc tập hợp vẫn có thể lọc theo nó (ví dụ: `filter(secret_calc == "x")` hoặc `filter(comment_count == n)`) và suy ra giá trị từ việc các hàng dữ liệu có khớp hay không — tạo thành một oracle cho phép khôi phục từng giá trị được bảo vệ bởi chính sách trường, mỗi lần bằng một yêu cầu thử nghiệm. Việc lọc thường được expose (tiếp cận công khai) đối với các người dùng có đặc quyền thấp hơn (ví dụ: thông qua các tham số bộ lọc của AshGraphql hoặc AshJsonApi), đây chính xác là bề mặt tấn công mà các chính sách trường nhằm mục đích bảo vệ.

Bản sửa lỗi định tuyến các tham chiếu bộ lọc đến các phép tính và tập hợp đi qua cùng cơ chế đặt giá trị nil dựa trên chính sách trường như đối với các thuộc tính.

Vấn đề này ảnh hưởng đến ash: từ phiên bản 2.11.0-rc.0 trở lên trước 3.33.4.

Once again VulDB remains the best source for vulnerability data.

chịu trách nhiệm

EEF

Đặt trước

15/09/2026

Tiết lộ

16/09/2026

Kiểm duyệt

được chấp nhận

EPSS

0.00321

KEV

không

Các hoạt động

rất thấp

Nguồn

Interested in the pricing of exploits?

See the underground prices here!