CVE-2026-80223

ash-project ash_graphql bileşenindeki Hatalı Yetkilendirme zafiyeti, bir kiracıdaki kimliği doğrulanmış bir abonenin, GraphQL abonelikleri üzerinden başka bir kiracının kayıtlarını almasına olanak tanır. AshGraphql.Graphql.Resolver içindeki abonelik çözücü, her bildirim yükünü bellek içinde yetkilendirir: hızlı yolu, run_queries?: false ile Ash.can/3 fonksiyonunu çağırır; bu işlem, okuma politikası filtresini Ash.Expr.eval/2 aracılığıyla bellek içi kayda karşı değerlendirir ve hiçbir zaman sorgu oluşturmaz. Ash, çoklu kiracılık işlemini sorgu filtreleme aşamasında değil, sorgu oluşturma ve veri katmanı ön eki sırasında uygular; bu nedenle değerlendirilen politika herhangi bir kiracı koşulu taşımaz ve kiracı-B bildirimi kiracı-A abonesine yönlendirildiğinde, politika filtresi doğru olduğu sürece yayınlanır. Tekli bildirim yan tümcesinde hiçbir kiracı koruması yoktur ve toplu işlem yan tümcesi yalnızca bildirim listesinin başını kontrol eder, böylece baş kısmında olmayan girişler tamamen bellek içinde yetkilendirilir. Kiracı kapsamlı bir okuma işlemi, yalnızca filtre değerlendirmesi başarısız olduğunda gerçekleştirilir. Bu sorun, ash_graphql'in 1.4.0 sürümünden 1.11.0 öncesindeki sürümlerini etkilemektedir.