CVE-2026-118505

اسم البرنامج المصاب والإصدارات المتأثرة ash authentication الإصدارات من 5.0.0-rc.4 إلى 5.0.0-rc.15

Description يسمح وجود قيود غير مناسبة على محاولات المصادقة المفرطة لمهاجم غير مصرح له بتخمين كلمات المرور وكلمات المرور لمرة واحدة (OTP) دون حد. يحدث هذا لأن brute force strategy يتم تطبيقها فقط على الإجراءات التي تنشئها الاستراتيجية؛ فإذا قام المورد بتعريف هذه الإجراءات يدويًا، لا يتم فرض القيود. وبشكل محدد، قد تفتقر الإجراءات التي يتم إنشاؤها عبر mix ash authentication.install و mix ash authentication.upgrade و mix ash authentication.add strategy.otp إلى التحضير اللازم. بالإضافة إلى ذلك، عندما يتم تعيين registration enabled? على true فإن تسجيل الدخول عبر OTP يُعامل كإجراء إنشاء، والذي يتجاوز التحضيرات، مما يجعل brute force strategy {:preparation, module} غير فعالة.

Recommendations بالنسبة للإصدارات من 5.0.0-rc.4 إلى 5.0.0-rc.15، قم بإضافة تحضير القوة الغاشمة إلى كل إجراء محمي محدد في المورد أو قم بإزالة الإجراء اليدوي للسماح للاستراتيجية بإنشائه. بالنسبة لـ brute force strategy {:audit log, name}، قم بتطبيق prepare {AshAuthentication.AddOn.AuditLog.IdentityBruteForcePreparation, action name: <action>} على إجراءات تسجيل الدخول بكلمة المرور، وطلب إعادة تعيين كلمة المرور، وطلب الرابط السحري، وطلب OTP، وقم بتطبيق prepare {AshAuthentication.AddOn.AuditLog.BruteForcePreparation, action name: <action>} على إجراءات قراءة تسجيل الدخول عبر OTP. بالنسبة لـ {:preparation, MyModule}، قم بتطبيق prepare MyModule على الإجراءات المتأثرة. بالنسبة لتكوينات OTP التي يكون فيها registration enabled? مضبوطًا على true قم بالتحويل إلى brute force strategy :rate limit.