CVE-2026-86338

Zasady Ash Field_policies są udokumentowane w celu ochrony przed ujawnieniem informacji w oparciu o filtr: gdy pole, którego aktor może nie widzieć, znajduje się w filtrze, jest ono zastępowane wyrażeniem, które ma wartość zero, więc filtru nie można użyć jako wyroczni tak/nie do odczytania wartości, której aktor nie widzi.

To zerowanie zastosowano do atrybutów, ale nie do obliczeń lub agregatów. Dostarczone przez użytkownika odwołanie do filtra do obliczenia lub agregatu zawiera strukturę Ash.Query.Calculation / Ash.Query.Aggregate, do której zastąpienie odwołania przez autora autoryzującego nie pasowało (pasowało tylko do struktur Ash.Resource.*), więc filtr działał w oparciu o wartość rzeczywistą.

W rezultacie aktor, którego zasady dotyczące pól zabraniają obliczeń lub agregacji, mogą nadal według nich filtrować (na przykład filter(secret_calc == "x") lub filter(comment_count == n)) i uczyć się wartości na podstawie dopasowania wierszy — wyrocznia, która odzyskuje wartości chronione zasadami pól po jednej sondzie na raz. Filtrowanie jest często udostępniane aktorom o niższych uprawnieniach (na przykład za pośrednictwem argumentów filtru AshGraphql lub AshJsonApi), co jest dokładnie tym, co mają chronić zasady pól powierzchniowych.

Trasy poprawki filtrują odniesienia do obliczeń i agregatów za pomocą tego samego zerowania zasad pól, co atrybuty.

Ten problem dotyczy Asha: od 2.11.0-rc.0 przed 3.33.4.