CVE-2026-119215

اسم البرنامج المصاب والإصدارات المتأثرة ash authentication الإصدارات من 5.0.0-rc.0 إلى 5.0.0-rc.15

Description يسمح تجاوز في التفويض لمستخدم مصادق عليه بتثبيت سر كلمة مرور لمرة واحدة قائمة على الوقت (TOTP) يتحكم فيه على حساب مستخدم آخر، مما يمكنه من تسجيل الدخول كذلك المستخدم أو التحكم في العامل الثاني للمصادقة. قامت الدالة AshAuthentication.Strategy.Totp.ConfirmSetupChange() بالتحقق من رمز الإعداد ولكنها لم تتحقق مما إذا كان قد تم إصداره للسجل الذي يتم تأكيده. بالإضافة إلى ذلك، تم تمييز مجموعات التغيير ConfirmSetupChange و GeneratePendingSetupChange و GenerateSecretChange كـ AshAuthentication interactions، مما سمح بتجاوز سياسات AshAuthenticationInteraction القياسية. وبناءً على ذلك، فإن السياسة التي تقيد setup و confirm setup بسجل الفاعل نفسه لم يتم تنفيذها عندما كانت هذه الإجراءات متاحة عبر مفتاح السجل، مما أدى إلى قيام استدعاء setup مباشر لسجل مستخدم آخر بإرجاع السر المعلق ورمز الإعداد الخاص بذلك المستخدم.

Recommendations تحديث ash authentication إلى الإصدار 5.0.0-rc.16 أو إصدار أحدث. كإجراء مؤقت، لا تقم بتعريض setup أو confirm setup على سجل يختاره المتصل؛ بدلاً من ذلك، قم باستدعائهم من خلال AshAuthentication.Strategy.Totp.Actions باستخدام المستخدم الذي سجل دخوله.