CVE-2026-101028

ash-project ash içerisindeki Hatalı Yetkilendirme zafiyeti, bir aktörün Ash.count/2, Ash.exists/2 ve Ash.aggregate/3 aracılığıyla okuma yetkisine sahip olmadığı ilişkili kayıtlardaki verileri çıkarmasına olanak tanır. Ash.Actions.Aggregate.run/4 (lib/ash/actions/aggregate.ex), toplulaştırma sorgusunu çalıştırmadan önce yalnızca kök kaynağın okuma politikasını uyguluyordu. Okuma yolu, doğrudan (örneğin comments.body) veya bir toplulaştırma üzerinden bir ilişkiyi geçen referansları filtrelemek ve sıralamak için her bir ilişkili kaynağın okuma politikasını da uygular; ancak toplulaştırma yolu bu adımı atlıyordu. Filtresi veya sıralaması örneğin Ash.Query.filter_input/2, bir ash_lua betiği veya sayım ya da varlık sonuçları sunan bir AshAi aracı aracılığıyla bu fonksiyonlara ulaşan bir çağrıcı, kendisinden gizlenen ilişkili satırlara karşı koşulları test edebilir ve her seferinde bir sorgu ile bunların varlığını ve öznitelik değerlerini geri kazanabilir. Ash.read/2 ve bunun sayfa sayıları etkilenmemiştir. Bu sorun ash'in 2.6.0 sürümünden 3.34.6 öncesine kadar olan sürümlerini etkilemektedir.