CVE-2026-96581

İstifadəçi tərəfindən idarə olunan açar vasitəsilə Autentifikasiyadan Yan Keçmə zəifliyi ash-project ash layihəsində bir tenant istifadəçisinə upserting create hərəkəti vasitəsilə digər tenantın qeydlərini oxumağa, üzərinə yazmağa və onları ələ keçirməyə imkan verir. Atribut multitenancy rejimində, Ash.Actions.Create (lib/ash/actions/create/create.ex) və Ash.Actions.Create.Bulk (lib/ash/actions/create/bulk.ex) funksiyaları, münaqişəli qeydi sorğunun tenantı ilə məhdudlaşdırmadan, primary key və ya all_tenants? identikliyi üzrə upsert edirdi. Primary key qəbul edən və upsert? true olan create hərəkətini çağıran şəxs, digər tenantdan olan qeyd ID-sini təqdim etməklə həmin qeydin upsert sahələrini yeniləyir və nəticədə onun bütün atributlarını əldə edirdi. Defolt upsert sahələri ilə tenant atributu da yazılır və beləliklə qeyd çağırış edən şəxsin tenantına köçürülürdü. Upsertlər üçün oxuma və yeniləmə siyasətləri işləmir, tenant-məhdudiyyətli create siyasətləri isə tenant çağırış edən şəxsin özü olduğu üçün təsdiqlənir. Bu problem ash versiya 1.22.0-dan 3.37.2-yə qədər olan versiyalara təsir edir.