CVE-2026-115635

Nome do Software Vulnerável e Versões Afetadas ash postgres versões 2.6.22 até 2.15.1

Description Um problema de autorização incorreta permite que um usuário leia o registro de outro locatário (tenant) por meio de um upsert ignorado. Isso ocorre quando Ash.bulk create/4 ou uma operação de criação única é executada como um upsert com return skipped upsert?: true e o upsert é ignorado, por exemplo, quando a upsert condition não é atendida. Nesses casos, o AshPostgres.DataLayer recupera a linha existente usando a identidade do upsert nas funções do bulk create/3 e upsert/4. Como essa busca não aplica a multilocação de atributos do recurso—um método de isolar dados para diferentes locatários usando um atributo específico—ela pode retornar uma linha pertencente a outro locatário que possua os mesmos valores de identidade, expondo seus campos ao solicitante.

Recommendations Atualize o ash postgres para a versão 2.15.2 ou posterior.