CVE-2026-81632
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wykorzystanie luki w zabezpieczeniach żądania HTTP z wrażliwym ciągiem zapytania w alembicznym AshAuthenticationPhoenix umożliwia osobie potrafiącej odczytać dzienniki dostępu, dzienniki proxy lub historię przeglądarki w celu odzyskania tokena logowania jednorazowego i uwierzytelnienia się jako jego właściciel.
Po pomyślnym zalogowaniu się za pomocą hasła AshAuthentication.Phoenix.Components.Password.SignInForm buduje ścieżkę Sign_in_with_token ze świeżo wydanym user.__metadata__.token jako parametrem zapytania i przekierowuje do niej przeglądarkę za pomocą GET. Token przemieszcza się zatem w wierszu żądania, gdzie rejestrują go serwery WWW, zwrotne proxy, dane telemetryczne żądań i własna historia przeglądarki, a wszystkie te zdarzenia przeżywają żądanie i są zwykle mniej chronione niż pamięć sesji. Miejsce docelowe przekierowania jest ograniczone do ścieżki lokalnej, więc nie jest to otwarte przekierowanie; ekspozycja polega na zachowaniu aktualnego referencji.
Ten problem dotyczy ash_authentication_phoenix: od 1.7.0 przed 2.17.4 i od 3.0.0-rc.0 przed 3.0.0-rc.11; ash_authentication: od 3.10.5 przed 4.15.0 i od 5.0.0-rc.0 przed 5.0.0-rc.14.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-81632.html
- https://github.com/team-alembic/ash_authentication/commit/8d8ddd25c69b669a92a701af74bff42e1aada998
- https://github.com/team-alembic/ash_authentication/commit/bbf345c1bb7aa28bce5dd856ac0ed2427f103859
- https://github.com/team-alembic/ash_authentication/commit/eca8cadea0f1595ed2c10a0c177b1da9aa9e5269
- https://github.com/team-alembic/ash_authentication/security/advisories/GHSA-j726-59hm-r46r
- https://github.com/team-alembic/ash_authentication_phoenix/commit/903f3a386e1aba2f7b070187ef6f31215a92bdfd
- https://github.com/team-alembic/ash_authentication_phoenix/commit/920257d0460b9c7cbb42a83d0888c10f4eeeb88a
- https://github.com/team-alembic/ash_authentication_phoenix/commit/ff5ad8737748afed9cdfde3ec3a05b8a4702a742
- https://github.com/team-alembic/ash_authentication_phoenix/security/advisories/GHSA-8jh5-339h-mqx9
- https://osv.dev/vulnerability/EEF-CVE-2026-81632
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org