CVE-2026-82732

Nome do Software Vulnerável e Versões Afetadas ash typescript versões 0.15.0 até 0.17.x

Description Uma validação de entrada inadequada em rotas de controladores tipados permite que um invasor remoto envie valores de argumento que ignoram listas de permissões (allowlists) ou limites declarados. A função AshTypescript.TypedController.RequestHandler em lib/ash typescript/typed controller/request handler.ex utiliza Ash.Type.cast input/3, mas não chama Ash.Type.apply constraints/3. Consequentemente, restrições como one of, max length, min, max e match não são aplicadas, permitindo que valores fora do intervalo pretendido cheguem ao manipulador de rota. Essa discrepância ocorre porque, embora os tipos TypeScript gerados reflitam essas restrições, outros clientes HTTP podem ignorá-las. Além disso, a falha na aplicação de restrições impede a normalização de strings vazias para nulo, permitindo que strings vazias ignorem verificações allow nil?: false para argumentos obrigatórios. Isso pode resultar em escalonamento de privilégios ou bypass de máquina de estado quando as restrições são usadas para controlar funções, status ou direções de ordenação.

Recommendations Atualize o ash typescript para a versão 0.18.0 ou posterior.