CVE-2026-82367

ash-project ash_graphql bileşenindeki Veri Öğesinin Yanlış Oturuma Açılması zafiyeti, bir aboneliğin çözümlenmiş kayıtlarının farklı bir abonenin konusuna iletilmesine neden olabilir. AshGraphql.Subscription.Batcher.do_send/5, çözümlenmiş grubu Process.get(:batch_resolved) aracılığıyla işlem sözlüğünden okur ve ardından koşulsuz olarak siler. Bu durum yalnızca kütüphanenin sahip olduğu bir görev içerisinde güvenlidir. :backpressure_sync ve :noproc geri dönüşlerinde do_send/5, yayınlayan çağırıcının işlemi içinde satır içi olarak çalışır; bu nedenle, dıştaki bir do_send/5 içindeki bir çözümleyici başka bir senkron Ash bildirimi tetiklerse, iç çağrı dış çalışmanın değerini hala :batch_resolved altında bulur, bunu kendi sonucu olarak benimser ve farklı bir aktöre ve kiracıya sahip farklı bir abonelik belgesi olan iç konuya yayınlar. Ardından anahtarı siler, böylece dış çalışma hiçbir şey yayınlamaz. Anahtar çalışma bazında ad alanına ayrılmadığı için kayıtlar birbirinden ayırt edilemez. Düzeltme, her çalışma etrafında :batch_resolved değerini kaydeder, temizler ve geri yükler. Bu sorun ash_graphql'in 1.4.0 sürümünden 1.11.0 öncesine kadar olan sürümlerini etkilemektedir.