CVE-2026-82732

ash-project ash_typescript bileşenindeki Hatalı Girdi Doğrulaması zafiyeti, uzaktan bir saldırganın typed-controller rotalarında beyan edilen izin verilenler listesinin veya sınırların dışındaki argüman değerlerini göndermesine olanak tanır. lib/ash_typescript/typed_controller/request_handler.ex dosyasındaki AshTypescript.TypedController.RequestHandler, Ash.Type.cast_input/3 fonksiyonunu çağırır ve {:ok, cast} sonucunu tamamen doğrulanmış olarak kabul eder. Ash içerisinde bunlar ayrı adımlardır: cast_input/3 terimi yalnızca zorlar, ancak argüman üzerinde beyan edilen her kısıtlama Ash.Type.apply_constraints/3 tarafından uygulanır ve bu yol söz konusu fonksiyonu hiçbir zaman çağırmaz. Bu nedenle one_of, max_length, min ve max ile match gibi kısıtlamalar etkisiz kalır; böylece beyan edilen izin verilenler listesinin dışındaki bir değer kabul edilir ve rota işleyicisine aktarılır. Kod üretimi aynı kısıtlamaları oluşturulan TypeScript türlerine yansıtır, bu nedenle bir izin verilenler listesi bir TypeScript çağırıcısı için uygulanıyor gibi görünürken diğer tüm HTTP istemcileri bunu görmezden gelir. Boş dizenin nil değerine normalleştirilmesi de apply_constraints içinde yer alır, bu nedenle allow_nil?: false kontrolü gerekli bir argüman için "" değerini kabul eder. Bir kısıtlamanın bir rolü, durumu veya sıralama yönünü denetlediği durumlarda, bu durum bir yetki veya durum makinesi atlatmaya dönüşür. Bu sorun ash_typescript'in 0.15.0 sürümünden 0.18.0 öncesine kadar olan sürümlerini etkilemektedir.