CVE-2026-82746
Açıklama
ash-project ash içerisindeki Eksik Yetkilendirme zafiyeti, bir aktörün Ash.update_many/4 atomik yolu aracılığıyla kaynak politikaları tarafından yasaklanmış kayıtları güncellemesine olanak tanır. Bir atomik strateji kullanıldığında ve veri katmanı bunu desteklediğinde, Ash.update_many/4 tek bir atomik ifade (örneğin bir SQL MERGE gibi bir veri katmanı update_many işlemi) olarak çalışır. Ash.Actions.Update.UpdateMany (lib/ash/actions/update/update_many.ex), authorize?: true durumunda bile kaynağın politikalarını uygulamadan bu yolu izliyordu; bu nedenle ifade, yetkilendirmenin getireceği politika filtresine bakılmaksızın birincil anahtar ile eşleşen her satırı güncelliyordu. Bu sayede bir aktör, başka bir aktöre veya kiracıya ait satırlar gibi politikaların yasakladığı kayıtları güncelleyebiliyordu. Düzeltme, atomik yolu yetkilendirme sırasında changeset filtrelerini destekleyen veri katmanlarıyla sınırlandırır, her changeset'i yetkilendirir ve sonuçlanan politika filtresini her changeset ile birleştirerek ifadenin yalnızca yetkilendirilmiş satırlara dokunmasını sağlar. Bu sorun ash ürününün 3.29.0 sürümünden 3.32.2 sürümüne kadar olan versiyonlarını etkilemektedir.
Nasıl düzeltilir
- ash-project ash3.32.2, ed4e656822ffe83f8e960d5de0b573c0d1ae7f29 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ash-project ash | 3.29.0 ≤ v < 3.32.2, 45e6b4ec7b2dc076afe614aa7aef7e1f15b5e335 ≤ v < ed4e656822ffe83f8e960d5de0b573c0d1ae7f29 | 3.32.2, ed4e656822ffe83f8e960d5de0b573c0d1ae7f29 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.