Ash-AI auth bypass via user-controlled key (CWE-639) GHSA-986-98-98-98

脆弱性サマリー：EEF-CVE-2026-82564 脆弱性概要 脆弱性の名称：ユーザーが制御するキーによる認可バイパス（Authorization Bypass Through User-Controlled Key） 脆弱性のタイプ：アイデンティティ構成されたツール（identity-configured tool）が、呼び出し元によって同一テーブル内の他のレコードを含む、識別できないレコードの更新または削除を許可する。 根本原因：AshAI のツール実行において、 は元のツール引数（例： ）から update/destroy フィルターを構築する。Map の値がリテラルではなく述語式として解釈されるため、攻撃者は のような入力を送信することで、 / を組み合わせて任意のレコードの更新または削除が可能となる。 重大度：7.1（高） CVSS v4 スコア：0.0/AV:N/AC:L/AT:N/PR:L/UI:N/VE:N/VA:N/SC:N/S:N 影響範囲 影響を受けるコンポーネント： 影響を受けるバージョン： は 0.6.0 から 1.0.0 より前のバージョン データベース固有の情報： - CPE 識別子： - CAPEC 番号： - CWE 番号： 修正方法 修正内容：各アイデンティティの値をフィールドの型にキャストし、スカラーでない入力を拒否する（The fix casts each identity value to the field type, rejecting non-scalar inputs）。 修正バージョン：1.0.0 以降のバージョンで修正済み。 POC / 利用コード ページには独立した POC コードブロックは含まれていないが、以下の利用例が提示されている： 攻撃者は、上記の JSON 構造をフィルター引数として用い、 または メソッドを呼び出すことで、識別できないレコードの更新または削除が可能となる。 参照リンク GitHub セキュリティ公告

目標達成 すべての支援者に感謝 — 100%達成しました！

Ash-AI auth bypass via user-controlled key (CWE-639) GHSA-986-98-98-98

目標達成すべての支援者に感謝 — 100%達成しました！