CVE-2026-82746

ash-project ash layihəsindəki Avtorizasiyanın Olmaması zəifliyi, bir aktorun Ash.update_many/4 atomik yolu vasitəsilə resurs siyasətləri ilə qadağan edilmiş qeydləri yeniləməsinə şərait yaradır. Atomik strategiya istifadə edildikdə və məlumat təbəqəsi bunu dəstəklədikdə, Ash.update_many/4 tək bir atomik ifadə kimi (məsələn, məlumat təbəqəsində SQL MERGE olan update_many) işləyir. Ash.Actions.Update.UpdateMany (lib/ash/actions/update/update_many.ex), authorize?: true olsa belə, resursun siyasətlərini tətbiq etmədən həmin yolu izləyirdi, buna görə də ifadə avtorizasiyanın tətbiq edəcəyi siyasət filtrindən asılı olmayaraq, əsas açar (primary key) ilə uyğunlaşan hər bir sətri yeniləyirdi. Beləliklə, bir aktor siyasətlərin qadağan etdiyi qeydləri, məsələn, digər aktora və ya kirayəçiyə (tenant) aid olan sətirləri yeniləyə bilərdi. Düzəliş, atomik yolu yalnız avtorizasiya zamanı changeset filtrlərini dəstəkləyən məlumat təbəqələri ilə məhdudlaşdırır, hər bir changeset-i avtorizasiyadan keçirir və nəticədə alınan siyasət filtrini hər bir changeset-ə birləşdirir ki, ifadə yalnız avtorizasiya olunmuş sətirlərə təsir etsin. Bu problem ash versiyaları üçün aktualdır: 3.29.0-dan 3.32.2-yə qədər.