CVE-2026-82586

ash-project ash_lua bileşenindeki Improper Protection of Alternate Path zafiyeti, kullanıcı tarafından sağlanan bir Lua betiğinin, exposed-field izin listesinde yer almayan öznitelikleri okumasına olanak tanır. AshLua, hangi alanların açığa çıkarıldığını beyan eden bir manifesto ile sınırlandırılmış şekilde Ash kaynaklarını Lua betiklerine sunar. AshLua.Runtime içindeki okuma eyleminin işlem toplama yolu (operation aggregate path), alan adını doğrudan Lua çağrısından almış ve bunu yalnızca String.to_existing_atom ve Ash.Query.Aggregate.new! ile çözümlemiştir; bu yöntemlerin hiçbiri, normal alan yollarının zorunlu kıldığı exposed-field izin listesini kontrol etmez. Bu nedenle bir betik, resource.read({ operation = {"list", "hashed_password"} }); üzerinden aktörün okuyabileceği herhangi bir kaydın, private sensitive?: true sütunları da dahil olmak üzere herhangi bir özniteliğinin değerini okuyabilir; min ve max ise bir değer orakeli sağlar. Bir Lua betiği gönderebilen veya etkileyebilen herkes buna erişebilir. Bu sorun, ash_lua: 0.1.0 sürümünden 0.2.1 öncesine kadar olan sürümleri etkilemektedir.