CVE-2026-82741

Nome do Software Vulnerável e Versões Afetadas ash versões 2.14.18 até 3.32.1

Description Uma validação inadequada de entrada no ash-project ash permite que um invasor cause confusão de tipo ao manipular a tag de tipo armazenada de um valor Ash.Type.Union que utiliza storage: :map with tag. Isso ocorre porque a função dump to native/2 em lib/ash/type/union.ex não força a tag configurada ao gravar valores, permitindo que uma tag fornecida no valor enviado seja persistida literalmente. Consequentemente, um invasor pode armazenar dados pertencentes a um membro enquanto atribui a ele a tag de um membro diferente. Na leitura, o sistema trata o valor como o membro incompatível, ignorando restrições de validação e políticas de autorização baseadas em tags.

Recommendations Atualize o ash para a versão 3.32.2 ou posterior.