CVE-2026-93477

Published: Set 25, 2026 Last Modified: Set 25, 2026

ExploitDB:

Other exploit source:

Google Dorks:

MEDIUM 5,9

Source: 6b3ad84c-e1a6-4bf7-a703-f496b71e49db

Attack Vector: local

Attack Complexity: low

Privileges Required: none

User Interaction: none

Confidentiality: N/A

Integrity: N/A

Availability: N/A

Description

AI Translation Available

Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in ash-project ash allows a user to set the value of a private action argument on the bulk destroy and bulk update paths.

Action arguments declared with public?: false are meant to be set only by trusted server-side code (for example via Ash.Changeset.set_private_argument/3) and must not be settable from end-user input. CVE-2026-55736 fixed the non-bulk changeset path to strip private arguments from user-supplied parameter maps, but the bulk destroy and bulk update paths were not covered.

Ash.Actions.Destroy.Bulk.base_changeset/5 and Ash.Actions.Update.Bulk.base_changeset/5 match every key in the caller-supplied parameter map against all of the action's arguments with no public? check, then apply the matches to the base changeset. A caller who can submit parameters to a bulk destroy or bulk update action (for example through AshJsonApi, AshGraphql, or a controller that forwards request parameters to Ash.bulk_destroy/4 or Ash.bulk_update/4) can therefore set any private argument of that action, including one referenced by an arg(...) template in the action's changes or validations. Depending on how the application uses the argument (for example an acting_user_id driving authorization or record ownership, or audit metadata), this can lead to an integrity violation or privilege escalation.

The fix requires public? in the argument matching on both bulk paths; private arguments remain settable server-side via the :private_arguments option.

This issue affects ash: from 2.17.15 before 3.33.11.

AI Generated Translation

Vulnerabilità di Modifica Impropriamente Controllata degli Attributi degli Oggetti Determinati Dinamicamente in ash-project ash consente a un utente di impostare il valore di un argomento di azione privato nelle rotte di bulk destroy e bulk update.

Gli argomenti di azione dichiarati con public?: false sono destinati ad essere impostati esclusivamente dal codice affidabile lato server (ad esempio tramite Ash.Changeset.set_private_argument/3) e non devono essere impostabili dall'input dell'utente finale. CVE-2026-55736 ha corretto il percorso non bulk del changeset per rimuovere gli argomenti privati dalle mappe di parametri fornite dall'utente, ma i percorsi bulk destroy e bulk update non erano coperti.

Ash.Actions.Destroy.Bulk.base_changeset/5 e Ash.Actions.Update.Bulk.base_changeset/5 confrontano ogni chiave nella mappa di parametri fornita dal chiamante con tutti gli argomenti dell'azione senza verificare public?, quindi applicano le corrispondenze al changeset di base. Un chiamante che può inviare parametri a un'azione di bulk destroy o bulk update (ad esempio tramite AshJsonApi, AshGraphql, o un controller che inoltra i parametri della richiesta a Ash.bulk_destroy/4 o Ash.bulk_update/4) può quindi impostare qualsiasi argomento privato di quell'azione, incluso uno referenziato da un template arg(...) nelle modifiche o nelle validazioni dell'azione. A seconda di come l'applicazione utilizza l'argomento (ad esempio un acting_user_id che gestisce l'autorizzazione o la proprietà del record, o metadati di audit), ciò può portare a una violazione di integrità o a un escalation dei privilegi.

La correzione richiede public? anche nel confronto degli argomenti su entrambi i percorsi bulk; gli argomenti privati rimangono impostabili lato server tramite l'opzione :private_arguments.

Questo problema riguarda ash: dalla versione 2.17.15 prima della 3.33.11.