CVE-2026-93477 in ash
Tóm tắt
Bởi VulDB • 25/09/2026
Lỗ hổng "Improperly Controlled Modification of Dynamically-Determined Object Attributes" (Thay đổi không được kiểm soát đúng cách các thuộc tính của đối tượng xác định động) trong ash-project cho phép người dùng đặt giá trị của một tham số hành động riêng tư (private action argument) trên các đường dẫn xóa hàng loạt (bulk destroy) và cập nhật hàng loạt (bulk update).
Các tham số hành động được khai báo với `public?: false` chỉ nên được thiết lập bởi mã phía máy chủ đáng tin cậy (ví dụ: thông qua `Ash.Changeset.set_private_argument/3`) và không được phép đặt từ đầu vào của người dùng cuối. CVE-2026-55736 đã sửa lỗi đường dẫn changeset không phải hàng loạt bằng cách loại bỏ các tham số riêng tư khỏi bản đồ tham số do người dùng cung cấp, nhưng các đường dẫn xóa hàng loạt và cập nhật hàng loạt chưa được bao phủ.
`Ash.Actions.Destroy.Bulk.base_changeset/5` và `Ash.Actions.Update.Bulk.base_changeset/5` khớp mọi khóa trong bản đồ tham số do caller cung cấp với tất cả các tham số của hành động mà không có kiểm tra `public?`, sau đó áp dụng các kết quả khớp vào base changeset. Một caller có thể gửi các tham số đến một hành động xóa hàng loạt hoặc cập nhật hàng loạt (ví dụ: thông qua AshJsonApi, AshGraphql, hoặc bộ điều khiển chuyển tiếp các tham số yêu cầu sang `Ash.bulk_destroy/4` hoặc `Ash.bulk_update/4`) do đó có thể đặt bất kỳ tham số riêng tư nào của hành động đó, bao gồm cả một tham số được tham chiếu bởi mẫu `arg(...)` trong các thay đổi hoặc xác thực của hành động. Tùy thuộc vào cách ứng dụng sử dụng tham số (ví dụ: `acting_user_id` điều khiển việc ủy quyền hoặc sở hữu bản ghi, hoặc siêu dữ liệu kiểm toán), điều này có thể dẫn đến vi phạm tính toàn vẹn hoặc leo thang đặc quyền.
Bản sửa lỗi yêu cầu thêm `public?` trong quá trình khớp tham số trên cả hai đường dẫn hàng loạt; các tham số riêng tư vẫn có thể được đặt ở phía máy chủ thông qua tùy chọn `:private_arguments`.
Vấn đề này ảnh hưởng đến ash: từ phiên bản 2.17.15 trước 3.33.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.