Ash · Ash · CVE-2026-86338
**Nome do Software Vulnerável e Versões Afetadas**
ash versões 2.11.0-rc.0 até 3.33.3
**Description**
As políticas de campo são destinadas a evitar a divulgação de informações, substituindo campos que um ator não pode ver por uma expressão `nil` quando usados em um filtro, impedindo que o filtro funcione como um oráculo de sim/não. No entanto, esse mecanismo foi aplicado apenas a atributos e não a cálculos ou agregados. Como as referências de filtro fornecidas pelo usuário para cálculos ou agregados utilizam structs `Ash.Query.Calculation` ou `Ash.Query.Aggregate`, elas ignoraram a substituição de referência do autorizador, que correspondia apenas a structs `Ash.Resource.*`.
Consequentemente, um ator proibido de acessar um cálculo ou agregado ainda pode filtrar por ele, permitindo a dedução de valores protegidos com base na correspondência de linhas. Isso é particularmente arriscado quando a filtragem é exposta a atores com menos privilégios via argumentos de filtro do AshGraphql ou AshJsonApi.
**Recommendations**
Atualize o ash para a versão 3.33.4 ou posterior.