CVE-2026-78216

AshLua, eval hərəkəti vasitəsilə işlədilən Lua skriptlərinə Ash oxuma hərəkətlərini təqdim edir. Oxuma çağırışı, adlandırılmış sahə üzərində ad-hoc Ash.Query.Aggregate quran və onun xam dəyərini qaytaran bir əməliyyat (list, min, max, first, sum, avg) qəbul edir. Ash sahə siyasətləri qaytarılan qeydlərdə qadağan olunmuş sahələri gizlədir (onları %Ash.ForbiddenField{} ilə əvəz edir), lakin bu gizlətmə aqreqat dəyərlərinə tətbiq edilmir. Buna görə də, skript bir sahəni sahə kimi deyil, aqreqat kimi tələb etməklə çağıran aktorun sahə siyasətlərinin qadağan etdiyi sahəni oxuya bilər. Bura public? true olan, lakin sahə siyasəti ilə aktor üzrə məhdudlaşdırılmış həssas şəxsi məlumatlar (PII) kimi sahələr daxildir. Əvvəlki təhlükəsizlik tədbirləri yalnız açıq-sahə icazə siyahısını (sahə görünürlüyü) tətbiq edirdi ki, bu da aktor üzrə sahə-siyasəti avtorizasiyasından fərqli bir istiqamətdir. Düzəliş, aqreqasiya edilmiş sahənin resursun sahə siyasətlərinə uyğun olaraq avtorizasiyasını təmin edir, beləliklə, aktorun görə bilməyəcəyi sahə üzərində aqreqasiya aparılması rədd edilir və ya yalnız həmin sahənin görünür olduğu sətirlərlə məhdudlaşdırılır. Bu problem ash_lua versiya 0.1.0-dan 0.2.2-yə qədər olan versiyalara təsir edir.