CVE-2026-77846

Nome do Software Vulnerável e Versões Afetadas ash sqlite versões 0.1.2-rc.0 até 0.2.17

Description A neutralização inadequada de elementos especiais na lógica de consulta de dados permite que um invasor navegue por dados JSON aninhados que a aplicação não pretendia expor, revelando potencialmente campos incorporados privados ou sensíveis. Isso ocorre porque o AshSqlite.SqlImplementation constrói o caminho json extract do SQLite juntando segmentos com pontos. Se um segmento contiver caracteres especiais como ., [, ], ou $, ele reinterpreta o caminho JSON, permitindo o acesso a níveis mais profundos da estrutura JSON. Este problema é acionado quando a entrada não confiável do usuário atinge um segmento get path/2, geralmente em padrões onde os usuários podem selecionar campos específicos de uma coluna JSON ou mapa.

Recommendations Atualize o ash sqlite para a versão 0.2.18 ou posterior.