CVE-2026-82724

Nome do Software Vulnerável e Versões Afetadas ash phoenix versões 2.1.26 até 2.3.24

Description Um problema de autorização incorreta ocorre quando o callback de autorização SubdomainHook é invocado com um tenant nulo, impedindo que as verificações de acesso com escopo de tenant apliquem as restrições pretendidas. Isso acontece porque o AshPhoenix.LiveView.SubdomainHook.on mount/4 anexa um hook handle params para atribuir o tenant, mas chama imediatamente o handle subdomain dentro do mesmo processo on mount. Como a atribuição do tenant só ocorre após o retorno do on mount, o handle subdomain lê uma atribuição não definida. Consequentemente, um gate de consumidor projetado para interromper a execução quando um usuário não pertence a um tenant pode ser avaliado como nulo, resultando em falha do sistema ou na execução de um caminho permissivo. Esta verificação não é executada novamente após a atribuição do subdomínio real ou em navegações posteriores.

Recommendations Atualize o ash phoenix para a versão 2.3.25 ou posterior.