- Yama var
- Son 7 gün
- CWE-863
CVE-2026-115627
AshPostgres, many_to_many ve through ilişkilerinde kiracı (multitenancy) yalıtımını atlayarak diğer kiracıların kayıtlarını döndürüyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- EEF
ÖzetTürkçe
ash-project ash_postgres içinde Yetkilendirme Hatası (Incorrect Authorization) bulunmaktadır; bu hata, bir kullanıcının, kaynak kayıtla yalnızca başka bir kiracıya ait birleştirme (join) satırları üzerinden bağlı hedef kayıtları yüklemesine olanak tanır. many_to_many veya through ilişkisi, kayıt başına limit ya da sıralama gibi nedenlerle lateral join ile yüklendiğinde, AshPostgres.DataLayer birleştirme kaynağı ve through yolu üzerindeki her kaynak için sorguyu lateral_join_query/3 ve through_step_queries/4 fonksiyonlarında, o kaynağın okuma eylemini çalıştırmadan oluşturmaktadır. Oysa öznitelik tabanlı kiracılığın (attribute multitenancy) uygulandığı yer burasıdır. Bu kaynaklar :attribute stratejisini kullandığında, diğer kiracılara ait satırlar birleştirmeye dahil edilmekte ve yükleme, çağıranın kiracısının ilişkili olmadığı hedef kayıtları döndürmektedir. Sorun, 0.38.0 sürümünden 2.15.2 sürümüne kadar (2.15.2 hariç) olan ash_postgres sürümlerini etkilemektedir.
Kaynaktaki açıklama (İngilizce)
Incorrect Authorization vulnerability in ash-project ash_postgres allows a user to load destination records linked to a source record only through another tenant's join rows.
When a many_to_many relationship, or a through relationship, is loaded with a lateral join (for example with a per-record limit or sort), AshPostgres.DataLayer builds the query for the join resource, and for each resource along a through path, in lateral_join_query/3 and through_step_queries/4 without running that resource's read action, which is where attribute multitenancy is applied. When those resources use strategy :attribute multitenancy, rows belonging to other tenants were joined, so the load returned destination records that the caller's tenant is not related to.
This issue affects ash_postgres: from 0.38.0 before 2.15.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ash-project Ash Postgres | ≥ 0.38.0, < 2.15.2 | 2.15.2 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ct/ash/security/advisories/GHSA-gr2r-f49c-9gm2 Üretici bülteni
- github.com/…ommit/8c25c945c39a45299193fe70b09fc2fa2aacac7b Yama
- cna.erlef.org/cves/CVE-2026-115627.html Diğer
- osv.dev/vulnerability/EEF-CVE-2026-115627 Diğer
- github.com/…ommit/7115bec58678f13b1ac2fb4822a0ba1aea9dbec5 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.