CVE-2026-117656

اسم البرنامج المصاب والإصدارات المتأثرة assent الإصدارات من 0.1.25 إلى 0.3.1

Description يمكن لمهاجم عن بُعد غير مصرح له انتحال شخصية مستخدمين آخرين من خلال التلاعب بمعلمة user أثناء استدعاء تفويض تسجيل الدخول باستخدام Apple. تحدث هذه المشكلة لأن الدالة Assent.Strategy.Apple.callback/2 في lib/assent/strategies/apple.ex تقوم بفك تشفير معلمة user التي يتحكم فيها العميل ولا تكون موقعة من قبل Apple. لاحقاً، تقوم الدالة fetch user/2 بدمج هذه البيانات غير المتحقق منها فوق مطالبات رمز التعريف (ID token) المتحقق منه، مما يسمح للقيم غير المتحقق منها باستبدال مطالبات أساسية مثل sub و email. نتيجة لذلك، تقوم الدالة normalize/2 بتحديد حقول الهوية التي قدمها المهاجم على أنها متحقق منها، مما يؤدي بالتطبيقات إلى تفويض الحسابات بناءً على معلومات مزيفة.

Recommendations تحديث assent إلى الإصدار 0.3.2. كإجراء مؤقت، قم بإزالة معلمة user من معلمات الاستدعاء باستخدام Map.delete(params, "user") قبل تمريرها إلى الدالة Assent.Strategy.Apple.callback/2.