PT-2026-136352
CVE-2026-110826
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
ash authentication الإصدارات من 4.5.0 إلى 4.15.0
ash authentication الإصدارات من 5.0.0-rc.0 إلى 5.0.0-rc.15
Description
توجد مشكلة حيث لا يتم إبطال رموز الجلسة (session tokens) بشكل صحيح بعد قيام المستخدم بتغيير كلمة المرور أو إعادة تعيينها. يحدث هذا عندما يكون إعداد
apply on password change? مفعلًا (true) ويستخدم AshAuthentication.AddOn.LogOutEverywhere.Transformer الشرط where: changing(hashed password) الذي يتم تقييمه قبل تشغيل خطافات before action. وبما أن AshAuthentication.Strategy.Password.HashPasswordChange يقوم بتعيين الهاش الجديد داخل خطاف before action فإن عمليات تغيير كلمة المرور غير الذرية (non-atomic)—بما في ذلك إجراء إعادة تعيين كلمة المرور المُنشأ وإجراء change password—تفشل في تفعيل إلغاء الرموز المخزنة. وهذا يسمح للمهاجم الذي يمتلك بالفعل رمز جلسة الضحية بالبقاء متصلاً.Recommendations
تحديث ash authentication إلى الإصدار 4.15.1 أو أحدث.
تحديث ash authentication إلى الإصدار 5.0.0-rc.16 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾