CVE-2026-81643
Açıklama
ash-project ash_graphql bileşenindeki Hatalı Yetkilendirme zafiyeti, bir abonenin görmeye yetkili olmadığı kayıtlar için GraphQL abonelik yükleri iletilmesine neden olur. AshGraphql.Subscription.Batcher içerisindeki do_send/5, bir toplu işlemin ilk bildirimini çözer ve bunu should_send?/1 ile filtreler; bu işlem, yetkisiz sonuçların ifşa edilmemesi için hataları forbidden veya not_found olarak kodlanmış olan ya da herhangi bir kod taşımayan sonuçları eler. Toplu işlemdeki geri kalan bildirimler süreç sözlüğünden okunur, boru hattından tekrar geçirilir ve söz konusu filtre uygulanmadan giden sonuçlara eklenir. Bu bildirimler pubsub.publish_subscription/2 kısmına ulaşır ve not is_nil(record) koruması yalnızca nil kayıtlarını eler, hata taşıyan sonuçları değil. Varsayılan bir saniyelik toplu işlem aralığında gelen uygun herhangi iki bildirim bunun için yeterlidir ve toplu işlem varsayılan yoldur. Düzeltme, should_send?/1 fonksiyonunu tüm toplu işleme uygular. Bu sorun ash_graphql'in 1.4.0 sürümünden 1.11.0 öncesine kadar olan sürümlerini etkilemektedir.
Nasıl düzeltilir
- ash-project ash_graphql1.11.0, e8e67f39add2ce0771e6db5f086afe68ba212c57 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ash-project ash_graphql | 1.4.0 ≤ v < 1.11.0, 3cb2c9870d050c7c4bba6c211aaed97d732f7e81 ≤ v < e8e67f39add2ce0771e6db5f086afe68ba212c57 | 1.11.0, e8e67f39add2ce0771e6db5f086afe68ba212c57 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.