VULNERABILIDADDetectada 25 OCT · 18:24

CVE-2026-115627 Autorización incorrecta en AshPostgres al cargar relaciones many_to_many y through

Al cargar relaciones many_to_many o through con lateral join, AshPostgres.DataLayer arma la consulta del recurso de unión y de cada recurso del camino through sin ejecutar su acción de lectura, donde se aplica la multitenencia por atributo. Así se unen filas de otros tenants y se devuelven registros de destino no relacionados con el tenant del solicitante. Afecta a ash_postgres desde 0.38.0 hasta antes de 2.15.2.

6.0MEDIA

CVSS 4.0

Probabilidad de explotación · EPSS del 09/110,2 % · percentil 15
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

ash-project ash_postgres
desde 0.38.0 hasta antes de 2.15.2
ash-project ash_postgres
desde 7115bec58678f13b1ac2fb4822a0ba1aea9dbec5 hasta antes de 8c25c945c39a45299193fe70b09fc2fa2aacac7b

Qué hacer

Verificá si usás ash_postgres y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 4.0 · 6.0 MEDIA

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataquePresentes
Privilegios requeridosBajos
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Alta
Integridad (sistema vulnerable)Ninguna
Disponibilidad (sistema vulnerable)Ninguna
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Incorrect Authorization vulnerability in ash-project ash_postgres allows a user to load destination records linked to a source record only through another tenant's join rows. When a many_to_many relationship, or a through relationship, is loaded with a lateral join (for example with a per-record limit or sort), AshPostgres.DataLayer builds the query for the join resource, and for each resource along a through path, in lateral_join_query/3 and through_step_queries/4 without running that resource's read action, which is where attribute multitenancy is applied. When those resources use strategy :attribute multitenancy, rows belonging to other tenants were joined, so the load returned destination records that the caller's tenant is not related to. This issue affects ash_postgres: from 0.38.0 before 2.15.2.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.