CVE-2026-55736

إصدارات ash-project ash من 3.0.0 إلى 3.29.2

توجد مشكلة تتيح للمستخدمين تعيين قيمة حجة إجراء خاصة يُفترض أن يتم التحكم فيها حصريًا بواسطة كود موثوق به من جانب الخادم. حجج الإجراءات المُعلنة بـ public?: false مخصصة للإعدادات الداخلية، مثل تلك التي تتم عبر Ash.Changeset.set private argument/3، ولا ينبغي أن تكون قابلة للتعيين عبر مدخلات المستخدم النهائي. ومع ذلك، فإن تصفية هذه الحجج الخاصة تكون غير مكتملة عند إنشاء مجموعة تغييرات من خريطة المعلمات. في مسارات مجموعات التغييرات العادية (for create، for update، for destroy)، لا يتم إزالة الحجج الخاصة إلا إذا كان مفتاح المعلمة ذرة (atom)؛ أما إذا كان المفتاح ثنائيًا (سلسلة)، وهو أمر شائع في المعلمات التي يقدمها المستخدم، يتم الاحتفاظ بالحجة. في المسار الذري (Ash.Changeset.fully atomic changeset/4، بما في ذلك التحديثات الذرية والجماعية)، لا يتم استبعاد الحجج الخاصة بغض النظر عن نوع المفتاح. وهذا يسمح للمهاجم بحقن قيم في الحجج الخاصة، مما قد يؤدي إلى تصعيد الامتيازات أو انتهاكات السلامة، خاصةً إذا تم استخدام حجج مثل acting user id للتفويض أو ملكية السجلات.

قم بتحديث ash-project ash إلى الإصدار 3.29.3 أو أحدث.