CVE-2026-96581

ash-project ash içerisindeki Kullanıcı Kontrollü Anahtar Aracılığıyla Yetkilendirme Atlatma zafiyeti, bir kiracıya ait kullanıcının, bir upsertleme oluşturma eylemi aracılığıyla başka bir kiracının kayıtlarını okumasına, üzerine yazmasına ve ele geçirmesine olanak tanır. Öznitelik tabanlı çoklu kiracılık altında, Ash.Actions.Create (lib/ash/actions/create/create.ex) ve Ash.Actions.Create.Bulk (lib/ash/actions/create/bulk.ex), çakışan kaydı isteğin kiracısıyla kısıtlamadan, birincil anahtar veya bir all_tenants? kimliği üzerinden upsert işlemi gerçekleştiriyordu. Birincil anahtarı kabul eden ve upsert? true olarak ayarlanmış bir oluşturma eylemini çağıran kişi, başka bir kiracıdan gelen bir kayıt kimliği sağlayarak söz konusu kaydın upsert alanlarını güncelleyebiliyor ve sonuçta tüm öznitelikleri alabiliyordu. Varsayılan upsert alanları ile kiracı özniteliği de yazılarak kayıt, çağrıyı yapan kişinin kiracısına taşınıyordu. Upsert işlemleri için okuma ve güncelleme politikaları çalışmaz ve kiracı kapsamlı oluşturma politikaları, kiracı çağrıyı yapan kişinin kendisi olduğu için onaylanır. Bu sorun ash'in 1.22.0 sürümünden 3.37.2 öncesine kadar olan sürümlerini etkilemektedir.