CVE-2026-82564

ash-project ash_ai komponentində istifadəçi tərəfindən idarə olunan açar vasitəsilə autentifikasiyadan yan keçmə zəifliyi, kimlik konfiqurasiyalı alətin çağırıcısına heç vaxt müəyyən etmədiyi qeydləri, o cümlədən cədvəldəki bütün sətirləri yeniləməyə və ya silməyə imkan verir. AshAi.Tool.Execution daxilində identity_filter/3 funksiyası yeniləmə/silmə filtrini birbaşa xam alət arqumentlərindən [{key, Map.get(arguments, to_string(key))}] şəklində qururdu və onu Ash.Query.do_filter/2 funksiyasına ötürürdü. Xəritə dəyəri literal kimi deyil, predikat ifadəsi kimi təhlil edilir, buna görə də çağırıcı {"public_ref": {"not_eq": "<own-ref>"}} göndərə bilər və Ash.Query.limit(1) ilə Ash.bulk_update!/Ash.bulk_destroy! birlikdə yazma əməliyyatını heç vaxt müəyyən etmədiyi qeydə yönləndirə bilər; buraxılmış açar isə ixtiyari sətirlə uyğunlaşan IS NULL filtri yaradır. Düzəliş hər bir kimlik dəyərini sahə tipinə çevirir və skalyar olmayan girişləri rədd edir. Bu problem ash_ai versiya 0.6.0-dan 1.0.0-a qədər olan versiyalara təsir edir.