CVE-2026-55736

ash-project ash-də Dinamik Olaraq Müəyyən Edilən Obyekt Atributlarının Yanlış İdarə Olunan Dəyişdirilməsi zəifliyi istifadəçiyə yalnız etibarlı server tərəfli kod tərəfindən idarə edilməsi nəzərdə tutulmuş gizli hərəkət arqumentinin dəyərini təyin etməyə imkan verir. public?: false ilə elan edilmiş hərəkət arqumentləri daxili şəkildə (məsələn, Ash.Changeset.set_private_argument/3 vasitəsilə) təyin edilməlidir və son istifadəçi girişindən təyin edilə bilməməlidir. Changeset parametr xəritəsindən qurulduqda, Ash gizli arqumentləri süzgəcdən keçirir, lakin bu süzgəcləmə natamamdır. Adi changeset yolunda (for_create, for_update, for_destroy), gizli arqumentlər yalnız parametr açarı atom olduqda silinir. İstifadəçi tərəfindən təmin edilən parametrlərdə olduğu kimi, açar binary (string) olduqda, gizli arqument saxlanılır və istifadəçi onun dəyərini idarə edir. Atomik yolda (Ash.Changeset.fully_atomic_changeset/4, həmçinin atomic və bulk yeniləmələri vasitəsilə əlçatan olan), açarın atom və ya binary olmasından asılı olmayaraq, gizli arqumentlər heç vaxt silinmir. Gizli arqument müəyyən edən bir hərəkətə parametrləri göndərə bilən hücumçu həmin arqument üçün dəyər inyeksiya edə bilər. Tətbiqin arqumentdən necə istifadə etdiyindən asılı olaraq (məsələn, avtorizasiyanı və ya qeydin mülkiyyətini idarə edən acting_user_id), bu, bütövlüyün pozulmasına və ya imtiyazların yüksəldilməsinə səbəb ola bilər. Bu problem ash-ın 3.0.0 versiyasından 3.29.3 versiyasına qədər olan hissəsinə təsir edir.