CVE-2026-86338

Nome do Software Vulnerável e Versões Afetadas ash versões 2.11.0-rc.0 até 3.33.3

Description As políticas de campo são destinadas a evitar a divulgação de informações, substituindo campos que um ator não pode ver por uma expressão nil quando usados em um filtro, impedindo que o filtro funcione como um oráculo de sim/não. No entanto, esse mecanismo foi aplicado apenas a atributos e não a cálculos ou agregados. Como as referências de filtro fornecidas pelo usuário para cálculos ou agregados utilizam structs Ash.Query.Calculation ou Ash.Query.Aggregate, elas ignoraram a substituição de referência do autorizador, que correspondia apenas a structs Ash.Resource.*.

Consequentemente, um ator proibido de acessar um cálculo ou agregado ainda pode filtrar por ele, permitindo a dedução de valores protegidos com base na correspondência de linhas. Isso é particularmente arriscado quando a filtragem é exposta a atores com menos privilégios via argumentos de filtro do AshGraphql ou AshJsonApi.

Recommendations Atualize o ash para a versão 3.33.4 ou posterior.