CVE-2026-101028

ash-project ash proqramındakı yanlış avtorizasiya zəifliyi, aktorun Ash.count/2, Ash.exists/2 və Ash.aggregate/3 vasitəsilə oxuya bilmədiyi əlaqəli qeydlərdəki məlumatları təyin etməsinə şərait yaradır. Ash.Actions.Aggregate.run/4 (lib/ash/actions/aggregate.ex) aqreqat sorğusunu işə salmazdan əvvəl yalnız kök resursun oxuma siyasətini tətbiq edirdi. Oxuma yolu həmçinin münasibət üzərindən keçən istinadları birbaşa (məsələn, comments.body) və ya biri üzərində aqreqat vasitəsilə filtrləmək və sıralamaq üçün hər bir əlaqəli resursun oxuma siyasətini tətbiq edir, lakin aqreqat yolu bu addımı ötürdü. Filtri və ya sıralaması bu funksiyalara çatan çağırıcı (məsələn, Ash.Query.filter_input/2, ash_lua skripti və ya say və ya mövcudluq nəticələri təklif edən AshAi aləti vasitəsilə), onlardan gizlədilmiş əlaqəli sətirlərə qarşı şərtləri yoxlaya və hər dəfə bir sorğu ilə onların mövcudluğunu və atribut dəyərlərini bərpa edə bilər. Ash.read/2 və onun səhifə sayları bundan təsirlənmir. Bu problem ash versiyalarına təsir edir: 2.6.0-dan başlayaraq 3.34.6 versiyasına qədər.