CVE-2026-78216

AshLua, bir eval eylemi aracılığıyla çalıştırılan Lua betiklerine Ash okuma eylemlerini sunar. Bir okuma çağrısı; adlandırılmış bir alan üzerinde geçici bir Ash.Query.Aggregate oluşturan ve ham değerini döndüren bir işlem (list, min, max, first, sum, avg) kabul eder. Ash alan politikaları, döndürülen kayıtlardaki yasaklı alanları gizler (%Ash.ForbiddenField{} ile değiştirerek), ancak bu gizleme işlemi toplulaştırılmış (aggregate) değerler için geçerli değildir. Bu nedenle bir betik, çağıran aktörün alan politikalarının yasakladığı bir alanı, onu bir alan yerine toplulaştırılmış veri olarak talep ederek okuyabilir. Buna, public? true olan ancak hassas PII gibi alan politikası tarafından aktöre göre kısıtlanmış alanlar da dahildir. Önceki sıkılaştırma yalnızca açığa çıkarılan alan izin listesini (alan görünürlüğü) zorunlu kılıyordu ki bu, aktöre özel alan politikası yetkilendirmesinden farklı bir eksendir. Düzeltme, toplulaştırılmış alanı kaynağın alan politikalarına göre yetkilendirir; böylece aktörün göremeyeceği bir alan üzerinden toplulaştırma yapılması reddedilir veya yalnızca alanın görünür olduğu satırlarla sınırlandırılır. Bu sorun ash_lua: 0.1.0 sürümünden 0.2.2 öncesine kadar olan sürümleri etkilemektedir.