CVE-2026-76949
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Obejście uwierzytelniania poprzez fałszowanie Luka w zabezpieczeniach zespołu alembicznego ash_authentication umożliwia atakującemu, który może umieścić plik cookie zapamiętujący mnie w przeglądarce ofiary, zastąpienie uwierzytelnionej sesji tej ofiary sesją dla własnego konta atakującego.
AshAuthentication.Plug.Helpers.sign_in_using_remember_me/3 pomija ponowne uwierzytelnianie już zalogowanego gościa, sprawdzając sesję pod kątem „<subject_name>_token”, ale store_in_session/2 zapisuje ten klucz tylko wtedy, gdy wymaga_token_obecności_do_uwierzytelnienia? jest włączona i w przeciwnym razie zapisuje samą nazwę podmiotu. Dlatego przy ustawieniu domyślnym strażnik czyta klucz, który nigdy nie jest zapisany, jego już zalogowana gałąź jest nieosiągalna, a logowanie z funkcją „pamiętaj mnie” działa przy każdym żądaniu poprzez wtyczkę potokową przeglądarki na żądanie. W związku z tym umieszczony plik cookie zapamiętujący mnie jest honorowany nawet w przypadku gościa przeprowadzającego uwierzytelnioną sesję na żywo, więc wszystko, co ofiara wejdzie później, ląduje w danych kontrolowanych przez osobę atakującą. Ścieżka odczytu w Authenticate_resource_from_session/4 wybiera klucz poprawnie, więc strażnik i czytelnik nie zgadzają się co do tego, który klucz przechowuje sesję.
Ten problem dotyczy ash_authentication: od 4.10.0 przed 4.15.0 i od 5.0.0-rc.0 przed 5.0.0-rc.14.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-76949.html
- https://github.com/team-alembic/ash_authentication/commit/3d3de314692558d06ec13945f857f00514e95a8c
- https://github.com/team-alembic/ash_authentication/commit/9a34136b844abe179da1075067cf2835c64dcc12
- https://github.com/team-alembic/ash_authentication/commit/b9568a53b438247238b1c5a4f49c8d84650f4bba
- https://github.com/team-alembic/ash_authentication/security/advisories/GHSA-hh34-374j-pfr5
- https://osv.dev/vulnerability/EEF-CVE-2026-76949
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org