CVE-2026-82734
Açıklama
ash-project ash içerisindeki Girdiyle Belirtilen Miktarın Uygunsuz Doğrulanması zafiyeti, bir saldırganın sayısal sınır kısıtlamalarını atlatan veya değer üzerindeki sonraki işlemlerin başarısız olmasına neden olan sonlu olmayan bir ondalık değer göndermesine olanak tanır. Ash.Type.Decimal; cast_input/2 ve cast_stored/2 (lib/ash/type/decimal.ex) fonksiyonlarında, sonuçlanan değerin sonlu olup olmadığını kontrol etmeden girdiyi Ecto'nun decimal cast işlemi üzerinden dönüştürür. Elixir'in Decimal yapısı, Sonsuzluk (Infinity) ve NaN değerlerini geçerli struct'lar olarak temsil eder, bu nedenle "Infinity" veya "NaN" gibi bir değer dönüştürme işlemini geçerek kalıcı hale getirilmiştir. NaN her sınıra karşı yanlış (false) olarak karşılaştırıldığından, minimum ve maksimum kısıtlamaları bunu reddetmez ve depolanan bu özel değer daha sonra Decimal aritmetiğinde kullanıldığında hata verir veya veri katmanı tarafından reddedilerek sonraki isteklerin başarısız olmasına yol açar. Düzeltme, dönüştürme sırasında sonlu olmayan tüm Decimal değerlerini reddeder. Bu sorun ash ürününün 1.28.0 ile 3.32.2 arasındaki sürümlerini etkilemektedir.
Nasıl düzeltilir
- ash-project ash3.32.2, 818087b1b3364f2af6f5460d6b01262ad0f69204 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ash-project ash | 1.28.0 ≤ v < 3.32.2, db6bdfcf1518c70d67975efb140cdeb2cb6a76e7 ≤ v < 818087b1b3364f2af6f5460d6b01262ad0f69204 | 3.32.2, 818087b1b3364f2af6f5460d6b01262ad0f69204 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.