CVE-2026-85500
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach Authentication Bypass przez Primary Weakness w alembicznym AshAuthentication pozwala niepotwierdzonemu użytkownikowi uzyskać sesję, pokonując obowiązkowy wymóg potwierdzenia e-mailem.
AshAuthentication.Strategy.Password.Actions.check_user/2 decyduje, czy atrybut nazwany przez require_confirmed_with jest ustawiony przy użyciu samego is_nil(Map.get(user, value)). Jeśli ten atrybut nie zostanie wybrany w załadowanym rekordzie, Map.get/2 zwróci %Ash.NotLoaded{}, a gdy zasady pola odmówią tego dla bieżącego aktora, zwróci %Ash.ForbiddenField{}. Żadne z nich nie jest zerem, więc gałąź odrzucająca jest pomijana i znak-i
require_confirmed_with jest wymuszane w dwóch miejscach i żadne z nich nie obowiązuje w każdej konfiguracji. sign_in_with_token i rejestr są sprawdzane tylko wewnątrz AshAuthentication.Strategy.Password.Actions, a nie w samej akcji, więc każdy obiekt wywołujący, który bezpośrednio wywołuje akcję, pomija sprawdzanie. Warstwa API taka jak AshGraphql czy AshJsonApi bezpośrednio wywołuje akcję, więc dotyczy to konfiguracji domyślnej. Jeżeli kontrola jest przeprowadzana, porównuje atrybut potwierdzenia z zerem. Ten atrybut przechowuje %Ash.NotLoaded{} lub %Ash.ForbiddenField{}, gdy ustawia opcjęselect_by_default?: false, gdy warstwa interfejsu API zawęża wybór odczytu lub gdy zasady pola ukrywają go przed aktorem logowania. Żadna ze struktur nie jest równa zero, więc te konfiguracje odczytują każdego użytkownika jako potwierdzone.
Ten problem dotyczy ash_authentication: od 4.3.8 przed 4.15.0 i od 5.0.0-rc.0 przed 5.0.0-rc.14.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-85500.html
- https://github.com/team-alembic/ash_authentication/commit/1076639a9d40213088d110c79ba6735b8cc85b16
- https://github.com/team-alembic/ash_authentication/commit/17f4c25a372d1778c9cc457759e6357570d83711
- https://github.com/team-alembic/ash_authentication/commit/7d37bc6e4df6697b5813d2f373f0fdb08f813f98
- https://github.com/team-alembic/ash_authentication/security/advisories/GHSA-fc47-6pgw-wh22
- https://osv.dev/vulnerability/EEF-CVE-2026-85500
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org