CVE-2026-81637
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach dotycząca niewystarczającego wygaśnięcia sesji w alembicznym AshAuthentication umożliwia atakującemu, który uzyska wartość stanu OAuth2 ofiary, odtworzenie wywołania zwrotnego i zalogowanie ofiary na konto kontrolowane przez osobę atakującą.
AshAuthentication.Strategy.OAuth2.Plug.callback/2 czyści zapisane parametry sesji poprzez krok ponownego wiązania wewnątrz łańcucha, conn <- Delete_session(conn, session_key). Elixir ocenia blok else w zakresie obejmującym with, więc każda ścieżka błędu (dostawca zwracający ?error=access_denied, nieprawidłowy kod, błąd wymiany tokenów lub błąd rejestracji lub logowania) dociera do store_authentication_result/2, utrzymując oryginalne połączenie, a wpis sesji nigdy nie jest usuwany. Wartość, którą własny komentarz modułu opisuje jako ochronę przed atakiem związanym z CSRF, jest zatem zużywana tylko wtedy, gdy uwierzytelnianie powiedzie się i przetrwa anulowaną lub nieudaną próbę do następnej fazy żądania lub wygaśnięcia sesji.
Ten problem dotyczy ash_authentication: od 0.6.0 przed 4.15.0 i od 5.0.0-rc.0 przed 5.0.0-rc.14.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-81637.html
- https://github.com/team-alembic/ash_authentication/commit/bd4352303bc9d72d007f6818775267585a4bcc2f
- https://github.com/team-alembic/ash_authentication/commit/c5f589058e04239263f50a1430eb17ea6d5dd1a2
- https://github.com/team-alembic/ash_authentication/commit/d7f939cd02bd618bcaa304631846fa75ffc419d7
- https://github.com/team-alembic/ash_authentication/security/advisories/GHSA-3vcj-gxx8-3p44
- https://osv.dev/vulnerability/EEF-CVE-2026-81637
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org