https://alertas.dupin.com.ar/fabricante/ash-project/Alertas de vulnerabilidades de ash-project.esMon, 09 Nov 2026 15:05:29 +000010https://alertas.dupin.com.ar/cve/CVE-2026-119613/tg:64271Mon, 09 Nov 2026 15:05:29 +0000VulnerabilidadAshAi devuelve a los clientes MCP y al modelo el texto de errores no reconocidos, lo que permite a quien invoca una herramienta leer detalles internos como nombres de módulos y valores de datos al hacer fallar la llamada. La corrección registra esos errores bajo un identificador y devuelve solo un texto acotado.https://alertas.dupin.com.ar/cve/CVE-2026-114214/tg:61174Sun, 25 Oct 2026 21:24:05 +0000VulnerabilidadAl cargar una relación has_many con through: o una has_one through sin ordenar con límite 1, lateral_join?/4 en lib/ash/actions/read/relationships.ex elige la ruta que lee el destino sin filtro que lo vincule al origen. Un cliente puede paginar el campo y enumerar registros de destino que las políticas solo permiten alcanzar a través de esa relación. Afecta a ash.https://alertas.dupin.com.ar/cve/CVE-2026-115627/tg:61173Sun, 25 Oct 2026 21:24:04 +0000VulnerabilidadAl cargar relaciones many_to_many o through con lateral join, AshPostgres.DataLayer arma la consulta del recurso de unión y de cada recurso del camino through sin ejecutar su acción de lectura, donde se aplica la multitenencia por atributo. Así se unen filas de otros tenants y se devuelven registros de destino no relacionados con el tenant del solicitante. Afecta a ash_postgres desde 0.38.0 hasta antes de 2.15.2.https://alertas.dupin.com.ar/cve/CVE-2026-115635/tg:61172Sun, 25 Oct 2026 21:24:03 +0000VulnerabilidadCuando un upsert con return_skipped_upsert?: true se omite, AshPostgres.DataLayer relee la fila existente por la identidad del upsert en do_bulk_create/3 y upsert/4 sin aplicar la multitenencia por atributo del recurso. En un recurso con estrategia :attribute puede coincidir y devolver la fila de otro tenant con los mismos valores de identidad, exponiendo sus campos. Afecta a ash_postgres desde 2.6.22 hasta antes de 2.15.2.https://alertas.dupin.com.ar/cve/CVE-2026-105283/tg:58417Mon, 12 Oct 2026 13:48:02 +0000VulnerabilidadAshTypescript permite a un atacante no autenticado leer términos internos de Elixir en respuestas de error RPC al provocar un error sin cláusula dedicada en el constructor de errores. ErrorBuilder.build_error_response/1 usa inspect/1 sin redacción y coloca el resultado en details.error de la respuesta al cliente.