CVE-2026-101028

Nome do Software Vulnerável e Versões Afetadas ash versões 2.6.0 até 3.34.5

Description Uma falha de autorização incorreta permite que um ator infira dados em registros relacionados que ele não tem permissão para ler. Isso ocorre porque a função Ash.Actions.Aggregate.run/4 aplicava apenas a política de leitura do recurso raiz antes de executar a consulta de agregação, ignorando as políticas de leitura de recursos relacionados. Um chamador pode testar condições contra linhas relacionadas ocultas para recuperar sua existência e valores de atributos, uma consulta por vez, caso seu filtro ou ordenação atinja as funções Ash.count/2, Ash.exists/2 ou Ash.aggregate/3. Isso pode acontecer por meio de Ash.Query.filter input/2, um script ash lua ou uma ferramenta AshAi. Este problema é acessível quando um aplicativo passa filtros ou ordenações fornecidos pelo chamador que cruzam um relacionamento para as funções afetadas e a política de leitura do recurso relacionado é mais rigorosa do que a do recurso raiz.

Recommendations Atualize o ash para a versão 3.34.6 ou posterior.