Vulnerabilidad en ash de ash-project (CVE-2026-70395)
Gravedad CVSS v4.0:
BAJA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
09/08/2026
Última modificación:
24/10/2026
Descripción
vulnerabilidad de neutralización incorrecta de elementos especiales en la lógica de consulta de datos en ash-project ash permite a un atacante forjar una relación con un registro que no pueden nombrar, y recuperar el valor secreto utilizado para buscarlo.<br />
<br />
Cuando manage_relationship se utiliza con on_lookup: :relate en una relación belongs_to, el valor de búsqueda proporcionado por el cliente se pasa a Ash.Query.filter/2 sin ser convertido al tipo de atributo. Un mapa anidado enviado donde se espera un escalar se interpreta, por lo tanto, como un predicado de filtro en lugar de un literal, por lo que una búsqueda de un registro específico se convierte en una consulta para cualquier registro que coincida con una condición. La misma ruta omite Ash.Query.limit(1), dejando a Ash.read_one/2 capaz de distinguir ninguna coincidencia de una coincidencia de varias, lo que convierte los predicados de comparación en un oráculo para el valor de búsqueda. La autorización no se ve afectada; la política de lectura de destino sigue aplicándose.<br />
<br />
Este problema afecta a ash: desde 1.52.0-rc.11 antes de 3.31.1.
Impacto
Puntuación base 4.0
2.10
Gravedad 4.0
BAJA