PT-2026-69309
CVE-2026-70395
·
تاريخ النشر
2026-08-09
·
تاريخ التحديث
2026-08-09
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ash-project ash من 1.52.0-rc.11 حتى 3.31.0
الوصف
يسمح التعطيل غير السليم للعناصر الخاصة في منطق استعلام البيانات للمهاجم بتزوير علاقة بسجل لا يمكنه تسميته واستعادة القيمة السرية المستخدمة للبحث. يحدث هذا عند استخدام
manage relationship مع on lookup: :relate في علاقة belongs to، حيث يتم تمرير قيمة البحث التي يوفرها العميل إلى Ash.Query.filter/2 دون تحويلها إلى نوع السمة. ونتيجة لذلك، يتم تفسير الخريطة المتداخلة التي يتم إرسالها بدلاً من قيمة عددية على أنها مسند تصفية بدلاً من قيمة حرفية، مما يحول البحث عن سجل محدد إلى استعلام عن أي سجل يطابق شرطًا ما. بالإضافة إلى ذلك، فإن إغفال Ash.Query.limit(1) يسمح لـ Ash.read one/2 بالتمييز بين عدم وجود تطابق، وتطابق واحد، وعدة تطابقات، مما يخلق «أوراكل» لقيمة البحث. لا تتأثر عملية التفويض لأن سياسة القراءة للوجهة لا تزال سارية.التوصيات
تحديث ash-project ash إلى الإصدار 3.31.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾