CVE-2025-25202

إصدارات AshAuthentication من 4.1.0 إلى 4.4.8

تؤثر هذه المشكلة على التطبيقات التي تم تشغيلها بواسطة أداة التثبيت الجديدة Igniter بدءًا من الإصدار AshAuthentication v4.1.0، والتي استخدمت استراتيجية الرابط السحري أو تقوم بإلغاء الرموز يدويًّا. قد يتم التحقق من صحة الرموز الملغاة، لكن التأثير ضئيل نظرًا لقصر مدة صلاحية رموز الرابط السحري، والتي تبلغ 10 دقائق بشكل افتراضي. يؤثر هذا الخلل أيضًا على عمليات إعادة تعيين كلمات المرور ورموز التأكيد، التي يمكن إعادة استخدامها حتى انتهاء صلاحيتها بدلاً من إلغائها على الفور.

بالنسبة للإصدارات من 4.1.0 إلى 4.4.8، قم بالتحديث إلى الإصدار 4.4.9، الذي يتضمن تصحيحًا لهذه المشكلة. أو بدلاً من ذلك، قم بتشغيل أداة التحديث يدويًّا باستخدام mix ash authentication.upgrade 4.4.8 4.4.9 أو احذف الإجراء العام :revoked? الذي تم إنشاؤه في مورد الرمز المميز لاستخدام الإصدار الداخلي الصحيح. كحل مؤقت، ضع في اعتبارك إزالة allow nil?: false من معلمات الإجراء والتأكد من أن الإجراء يُرجع :boolean.