- Yama var
- Son 7 gün
- CWE-863
CVE-2026-115635
AshPostgres'te atlanan upsert işleminde başka bir kiracının kaydı döndürülebiliyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- EEF
ÖzetTürkçe
ash-project ash_postgres içinde bulunan Yetkilendirme hatası (Incorrect Authorization), bir kullanıcının atlanan bir upsert işlemi üzerinden başka bir kiracının (tenant) kaydını okumasına izin veriyor. Ash.bulk_create/4 veya tek bir create işlemi, return_skipped_upsert?: true ayarıyla upsert olarak çalıştırıldığında ve upsert atlandığında (örneğin upsert_condition koşulu sağlanmadığında), AshPostgres.DataLayer, do_bulk_create/3 ve upsert/4 fonksiyonlarında upsert kimliğine göre mevcut satırı geri okur. Bu sorgu kaynağın öznitelik çoklu kiracılık (attribute multitenancy) kuralını uygulamıyordu; bu nedenle :attribute stratejisi kullanan bir kaynakta, aynı kimlik değerlerine sahip başka bir kiracının satırı eşleşip döndürülebiliyor ve alanları çağırana ifşa ediliyordu. Sorun ash_postgres sürümleri 2.6.22 ile 2.15.2 öncesi arasını etkiliyor.
Kaynaktaki açıklama (İngilizce)
Incorrect Authorization vulnerability in ash-project ash_postgres allows a user to read another tenant's record through a skipped upsert.
When Ash.bulk_create/4 or a single create runs as an upsert with return_skipped_upsert?: true and the upsert is skipped (for example because its upsert_condition does not hold), AshPostgres.DataLayer reads the existing row back by the upsert identity in do_bulk_create/3 and upsert/4. That lookup did not apply the resource's attribute multitenancy, so on a resource using strategy :attribute it could match and return the row of another tenant with the same identity values, exposing its fields to the caller.
This issue affects ash_postgres: from 2.6.22 before 2.15.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ash-project Ash Postgres | ≥ 2.6.22, < 2.15.2 | 2.15.2 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ct/ash/security/advisories/GHSA-36hg-wwp2-fg8w Üretici bülteni
- github.com/…ommit/8aa81220c401cae412d21078d11b3519ea25d3a9 Yama
- cna.erlef.org/cves/CVE-2026-115635.html Diğer
- osv.dev/vulnerability/EEF-CVE-2026-115635 Diğer
- github.com/…ommit/af0903f1380468bbe1b61fe65acb33772b5e24a5 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.