Podatności ash_phoenix

W bibliotece ash_phoenix (wersje od 1.2.17 przed 2.3.25) wykryto podatność na ujawnianie wrażliwych informacji w komunikatach błędów. Cała mapa parametrów żądania jest zapisywana w komunikacie wyjątku, co może ujawnić sekrety w logach i raportach błędów.

W ash-project ash_phoenix wykryto podatność związaną z nadmiernie permisywnym wyrażeniem regularnym, która pozwala zdalnemu klientowi na wybór dzierżawcy (tenanta) używanego przez aplikację Ash lub na degradację żądania poprzez wysłanie spreparowanego nagłówka Host. Funkcja AshPhoenix.Helpers.get_subdomain/2 usuwała domenę główną za pomocą String.replace(host, ~r/.?#{root_host}/, ""), co powodowało, że każda kropka stawała się symbolem wieloznacznym, a porównanie było globalne i niezakotwiczone. Problem dotyczy wersji od 2.1.26 przed 2.3.25.

W bibliotece ash_phoenix (wersje od 0.6.0-rc.1 przed 2.3.25) wykryto podatność na obejście autoryzacji przez kontrolowany przez użytkownika klucz. Atakujący może filtrować dane po relacjach, które nie są publiczne, co pozwala na uzyskanie informacji o prywatnych danych.

W bibliotece ash_phoenix projektu ash-project wykryto podatność polegającą na nieprawidłowej autoryzacji. Wywołanie zwrotne SubdomainHook jest wywoływane z wartością nil dla dzierżawy (tenant), przez co kontrole dostępu oparte na dzierżawie nie sprawdzają właściwej dzierżawy. Problem dotyczy wersji od 2.1.26 przed 2.3.25.