- Yama var
- Son 7 gün
- CWE-863
CVE-2026-114214
Ash'te through ilişkisi limit 1 ile yüklendiğinde yetkisiz kayıtlar döndürülebiliyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- EEF
ÖzetTürkçe
ash-project ash içinde, yetkilendirme kontrolünün hatalı olmasından kaynaklanan bir zafiyet bulunmaktadır. Bu zafiyet, bir istemcinin, kaynak kayıtla ilişkisi olmayan hedef kayıtları through ilişkisi üzerinden okumasına olanak tanır.
through: ile tanımlanmış bir has_many ilişkisi, tek bir kayıt için limit 1 ile yüklendiğinde veya sıralanmamış bir has_one through ilişkisi limit 1 ile yüklendiğinde, ash/lib/ash/actions/read/relationships.ex dosyasındaki lateral_join?/4 fonksiyonu, hedef kaydı kaynak kayıtla bağlayan herhangi bir filtre içermeyen yolu seçmektedir. Bu durumda yükleme, sıralamaya göre ilk hedef kaydı ya da offset ile belirlenen başka bir kaydı döndürür. Okuma işlemi yine hedef kayda ait politikaları çalıştırır ancak ilişkiyi accessing_from olarak taşır. Bu nedenle, AshGraphql üzerinden teachers(limit: 1, offset: n) gibi bir alanı sayfalayan bir istemci, yalnızca bu ilişki üzerinden erişildiğinde politikaların izin verdiği hedef kayıtları sıralayabilir.
Bu sorun ash paketinin 3.24.0 sürümünden 3.37.1 sürümünden önceki sürümlerini etkilemektedir.
Kaynaktaki açıklama (İngilizce)
Incorrect Authorization vulnerability in ash-project ash allows a client to read destination records unrelated to the source record through a through relationship.
When a has_many relationship declared with through: was loaded for a single record with a limit of 1, or an unsorted has_one through relationship was loaded with a limit of 1, lateral_join?/4 in lib/ash/actions/read/relationships.ex chose the path that reads the destination without any filter linking it to the source. The load returned the first destination record by sort, or any other record with an offset. The read still runs the destination's policies but carries the relationship as accessing_from, so a client paging such a field (for example teachers(limit: 1, offset: n) through AshGraphql) can enumerate destination records that policies allow only when reached through that relationship.
This issue affects ash: from 3.24.0 before 3.37.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ash-project ash | ≥ 3.24.0, < 3.37.1 | 3.37.1 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ct/ash/security/advisories/GHSA-g2h4-xp57-q863 Üretici bülteni
- github.com/…ommit/e37463307304b26bc8fd606322e5c4d8f7f060e5 Yama
- cna.erlef.org/cves/CVE-2026-114214.html Diğer
- osv.dev/vulnerability/EEF-CVE-2026-114214 Diğer
- github.com/…ommit/24f41e23dcbd9d07cde270a8141490e8f79251f5 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.