PT-2025-42599 · Ash · Ash

Jechol Lee + 2 · Publicado 2025-10-17 · Atualizado 2025-10-21 · CVE-2025-48044

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas versões do ash de 3.6.3 a 3.7.1

Descrição Existe uma falha de autorização incorreta no ash, potencialmente permitindo o bypass de autenticação. O problema está associado ao arquivo lib/ash/policy/policy.ex e à função Elixir.Ash.Policy.Policy:expression/2.

Recomendações Atualize para a versão 3.7.1 do ash.

Exploit

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2025-48044

GHSA-PCXQ-FJP3-R752

Produtos afetados

Ash

Referências · 22

• 🔥 https://github.com/ash-project/ash/security/advisories/GHSA-pcxq-fjp3-r752 · Exploit
• https://github.com/ash-project/ash · Nota
• https://github.com/ash-project/ash/commit/8b83efa225f657bfc3656ad8ee8485f9b2de923d · Correção
• https://twitter.com/VulmonFeeds/status/1979197398615314641 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1o9vs6p/resumen_diario_de_vulnerabilidades_18102025 · Publicação no Reddit
• https://reddit.com/r/VulnMatter/comments/1o9v03c/resumen_diario_de_vulnerabilidades_18102025 · Publicação no Reddit
• https://reddit.com/r/VulnMatter/comments/1ob1a2r/resumen_diario_de_vulnerabilidades_19102025 · Publicação no Reddit
• https://cna.erlef.org/cves/CVE-2025-48044.html · Nota
• https://osv.dev/vulnerability/EEF-CVE-2025-48044 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-48044 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-pcxq-fjp3-r752 · Aviso do Fabricante
• https://t.me/cveNotify/139142 · Publicação no Telegram
• https://twitter.com/fernandokarl/status/1979233099692073024 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1obkvoc/resumen_diario_de_vulnerabilidades_20102025 · Publicação no Reddit
• https://twitter.com/CVEnew/status/1979198257915183159 · Publicação no Twitter