CVE-2026-93477

Niewłaściwie kontrolowana modyfikacja dynamicznie określanych atrybutów obiektu Luka w zabezpieczeniach Ash-Project Ash pozwala użytkownikowi ustawić wartość argumentu akcji prywatnej na ścieżkach zbiorczego niszczenia i zbiorczej aktualizacji.

Argumenty akcji zadeklarowane za pomocą public?: false mają być ustawiane wyłącznie przez zaufany kod po stronie serwera (na przykład poprzez Ash.Changeset.set_private_argument/3) i nie można ich ustawiać na podstawie danych wejściowych użytkownika końcowego. W CVE-2026-55736 naprawiono niezbiorczą ścieżkę zestawu zmian, aby usunąć prywatne argumenty z map parametrów dostarczonych przez użytkownika, ale ścieżki zbiorczego niszczenia i zbiorczej aktualizacji nie zostały uwzględnione.

Ash.Actions.Destroy.Bulk.base_changeset/5 i Ash.Actions.Update.Bulk.base_changeset/5 dopasowują każdy klucz w mapie parametrów dostarczonej przez osobę wywołującą względem wszystkich argumentów akcji bez publiczności? zaznacz, a następnie zastosuj dopasowania do podstawowego zestawu zmian. Osoba wywołująca, która może przesłać parametry do akcji zbiorczego niszczenia lub zbiorczej aktualizacji (na przykład poprzez AshJsonApi, AshGraphql lub kontroler, który przekazuje parametry żądania do Ash.bulk_destroy/4 lub Ash.bulk_update/4) może zatem ustawić dowolny prywatny argument tej akcji, w tym ten, do którego odwołuje się szablon arg(...) w zmianach lub walidacjach akcji. W zależności od tego, jak aplikacja używa argumentu (na przykład autoryzacja działania działającego_użytkownika, własność rekordu lub metadane inspekcji), może to prowadzić do naruszenia integralności lub eskalacji uprawnień.

Poprawka wymaga upublicznienia? w dopasowywaniu argumentów na obu ścieżkach zbiorczych; prywatne argumenty można ustawić po stronie serwera za pomocą opcji :private_arguments.

Ten problem dotyczy popiołu: od 2.17.15 do 3.33.11.