SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-78216

ŚrednieCVSS 6.0
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

AshLua udostępnia operacje odczytu Ash dla skryptów Lua uruchamianych przez akcję eval. Wywołanie odczytu akceptuje operację (list, min, max, first, sum, avg), która buduje tymczasową agregację Ash.Query.Aggregate na nazwanym polu i zwraca jego surową wartość. Polityki pól Ash usuwają zabronione pola z zwracanych rekordów (zastępując je %Ash.ForbiddenField{}), ale to usuwanie nie dotyczy wartości agregatów. Skrypt może zatem odczytać pole, którego zabraniają polityki pól dla wywołującego aktora, żądając go jako agregatu zamiast jako pola. Obejmuje to pola, które są public? true, ale ograniczone per-aktor przez politykę pól, takie jak wrażliwe dane PII. Wcześniejsze zabezpieczenie egzekwowało tylko listę dozwolonych pól (widoczność pól), co jest oddzielną osią od autoryzacji polityki pól per-aktor. Poprawka autoryzuje zagregowane pole względem polityk pól zasobu, więc agregowanie po polu, którego aktor nie może widzieć, jest odrzucane lub ograniczane do wierszy, gdzie jest widoczne. Problem dotyczy ash_lua: od 0.1.0 przed 0.2.2.

Ocena ryzyka

Skrypt Lua może ominąć polityki pól i odczytać wrażliwe dane, takie jak PII, co stanowi ryzyko naruszenia poufności danych.

Rekomendacja

Zaktualizuj ash_lua do wersji 0.2.2 lub nowszej, która zawiera poprawkę autoryzującą zagregowane pole względem polityk pól zasobu.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

AshLua exposes Ash read actions to Lua scripts run through an eval action. A read call accepts an operation (list, min, max, first, sum, avg) that builds an ad-hoc Ash.Query.Aggregate over a named field and returns its raw value. Ash field policies redact forbidden fields on returned records (replacing them with %Ash.ForbiddenField{}), but that redaction does not apply to aggregate values. A script could therefore read a field the calling actor's field policies forbid by requesting it as an aggregate instead of as a field. This includes fields that are public? true but restricted per-actor by a field policy, such as sensitive PII. The prior hardening only enforced the exposed-field allow-list (field visibility), which is a separate axis from per-actor field-policy authorization. The fix authorizes the aggregated field against the resource's field policies, so aggregating over a field the actor may not see is refused or scoped to the rows where it is visible. This issue affects ash_lua: from 0.1.0 before 0.2.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS