Podatności ash_postgres

Podatność nieprawidłowej autoryzacji w bibliotece ash_postgres pozwala użytkownikowi odczytać rekord innego tenanta poprzez pominięty upsert. Gdy operacja tworzenia działa jako upsert z return_skipped_upsert?: true i zostanie pominięta, warstwa danych odczytuje istniejący wiersz po tożsamości upsert bez zastosowania multitenancy atrybutowej, co może ujawnić pola rekordu innego tenanta.

Podatność nieprawidłowej autoryzacji w ash_postgres pozwala użytkownikowi załadować rekordy docelowe powiązane z rekordem źródłowym tylko poprzez wiersze łączące innego tenanta. Przy ładowaniu relacji many_to_many lub through z lateral join, zapytanie dla zasobu łączącego jest budowane bez uruchamiania akcji odczytu, która stosuje multitenancy atrybutową, co prowadzi do dołączenia wierszy innych tenantów.

Podatność w ash-project ash_postgres pozwala użytkownikowi, który może zmienić nazwę dzierżawy (tenant) na nazwę kolidującą ze schematem istniejącej dzierżawy, na przekierowanie swojego rekordu dzierżawy na żywy schemat innej dzierżawy i uzyskanie dostępu do jej danych. Funkcja rename_tenant/3 ignoruje wynik zapytania SQL i zawsze zwraca :ok, co prowadzi do zapisania nowej nazwy i późniejszego dostępu do cudzych danych. Problem dotyczy ash_postgres od 0.25.0 przed 2.13.0.