CVE-2026-82736
Açıklama
Hatalı Davranış Sırası: Kanonikleştirme Öncesi Doğrulama zafiyeti, ash-project ash içerisinde bir saldırganın uzunluk veya eşleşme kısıtlamalarını ihlal eden büyük/küçük harf duyarsız bir dize değeri depolamasına izin verir. Ash.Type.CiString.apply_constraints/2 (lib/ash/type/ci_string.ex), max_length, min_length ve match kısıtlamalarını gönderilen değer üzerinden doğrular; ancak tip, depolama ve karşılaştırma için dizeyi (kendi kasa yapısına göre) küçük harfe dönüştürür (case-fold). Doğrulama işlemi dönüştürmeden önce çalıştığı için, bir saldırgan dönüştürülmüş hali bir kısıtlamayı bozan ancak orijinal hali geçerli olan bir değer gönderebilir: örneğin, büyük harf gerektiren bir eşleşme deseni karşısında, küçük harfle depolanan büyük harfli bir değer, desenin reddettiği bir değeri kalıcı hale getirir. Düzeltme, değeri apply_constraints/2 başlangıcında küçük harfe dönüştürerek kısıtlamaların gerçekte depolanan form üzerinden kontrol edilmesini sağlar. Bu sorun ash'in 1.29.0-rc0 ile 3.32.2 arasındaki sürümlerini etkilemektedir.
Nasıl düzeltilir
- ash-project ash3.32.2, d8320b0127c8ef453679d70e5dd23a9506951d21 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ash-project ash | 1.29.0-rc0 ≤ v < 3.32.2, f6f5d194bfc7802bd32e48bf2eabd2d97a0109a4 ≤ v < d8320b0127c8ef453679d70e5dd23a9506951d21 | 3.32.2, d8320b0127c8ef453679d70e5dd23a9506951d21 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.