CVE-2026-82749
Açıklama
ash-project ash bileşenindeki Hatalı Yetkilendirme zafiyeti, referans verilen üst alan çözümlenemediğinde bir ilişkinin parent(...) kapsam filtresinin genişlemesine ve istenmeyen kayıtlarla eşleşmesine neden olur. Filtresi parent(...) referansı içeren bir ilişkinin yüklenmesi, bu ifadenin üst kayda göre çözümlenmesini sağlar. resolve_parent_in_filter/3 (lib/ash/actions/read/relationships.ex), çözümlenemeyen bir üst referansı (örneğin, referans verilen alan kaynak sorguda seçilmediğinde) hata vermek yerine nil olarak çözümlemiştir. Bu durumda, org_id == parent(org_id) gibi bir kapsam belirleyici IS NULL eşleşmesine dönüşür ve is_nil(parent(org_id)) veya org_id == parent(org_id) gibi bir koruyucu kısıtlamasız dalını etkinleştirir; böylece ilişki, kapsamın hariç tutmayı amaçladığı kayıtları döndürür. Düzeltme, parent(...) referansı çözümlenemediğinde varsayılan olarak nil değerini atamak yerine okuma işlemini bir hata ile sonlandırır. Bu sorun ash'in 3.13.2 sürümünden 3.32.2 öncesine kadar olan sürümlerini etkilemektedir.
Nasıl düzeltilir
- ash-project ash3.32.2, e52dad2c39a35f6f043f7324d26e4f4e2551dfd2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ash-project ash | 3.13.2 ≤ v < 3.32.2, 0ddff26e6e6bc6d182e1af2f98b431575e5b4179 ≤ v < e52dad2c39a35f6f043f7324d26e4f4e2551dfd2 | 3.32.2, e52dad2c39a35f6f043f7324d26e4f4e2551dfd2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.