CVE-2025-4754

ash-project ash authentication phoenix الإصدارات الأقدم من 2.10.0

تؤثر هذه المشكلة على مكتبة ash authentication phoenix، حيث تظل رموز الجلسة صالحة على الخادم بعد قيام المستخدم بتسجيل الخروج. ويؤدي ذلك إلى ثغرة أمنية تسمح لرموز الجلسة المخترقة بالاستمرار في العمل، حتى بعد تسجيل خروج المستخدم. لا تزال الجلسات المخزنة في قاعدة البيانات تنتهي صلاحيتها، مما يحد من المدة التي يمكن خلالها استغلال هذه الثغرة. لا يمكن للمستخدمين إبطال صلاحية جلساتهم بالكامل عند تسجيل الخروج من أجهزة مشتركة أو أجهزة قد تكون تعرضت للاختراق. ومع ذلك، فإن تغيير كلمة المرور يؤدي إلى إبطال صلاحية جميع الجلسات الأخرى. وقد يتسبب هذا في مشكلات تتعلق بالامتثال لأطر العمل الأمنية التي تتطلب إبطال صلاحية الجلسات بالكامل.

قم بالترقية إلى الإصدار 2.10.0. بعد الترقية، قم بتحديث تطبيق AuthController لاستخدام الدالة الجديدة clear session/2 مع اسم تطبيق OTP. إذا لم يكن الإعداد require token presence for authentication? مضبوطًا على true في قسم tokens، فقم بتمكينه إن أمكن، أو اضبط authentication.session identifier على :jti. لاحظ أن تعيين require token presence for authentication? إلى true أو تعيين authentication.session identifier إلى :jti سيؤدي إلى تسجيل خروج جميع المستخدمين المصادق عليهم حاليًا إذا لم يكن هذا قد تم تكوينه مسبقًا. كحل مؤقت، قم بإلغاء الرموز يدويًّا في معالج logout/2 في وحدة التحكم في المصادقة.