PT-2026-81202
CVE-2026-65633
·
تاريخ النشر
2026-08-25
·
تاريخ التحديث
2026-08-27
الوصف من
CVSS 4.0
7.6
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ash authentication من 3.10.5 إلى 4.14.1
إصدارات ash authentication من 5.0.0-rc.0 إلى 5.0.0-rc.12
الوصف
تسمح المصادقة غير السليمة بإعادة استخدام رموز JSON Web Tokens (JWTs) المحددة الغرض كبيانات اعتماد API كاملة لحامل الرمز عندما يستخدم المورد التحقق من رمز الحامل بدون حالة. تقوم الدالة المساعدة
retrieve from bearer/3 بالتحقق من توقيع رمز JWT من نوع Authorization: Bearer وترفض الرموز التي تحتوي على مطالبة act، ولكنها تفشل في التحقق مما إذا كانت مطالبة purpose للرمز تساوي user. عندما يتم تكوين المورد بحيث تكون قيمة require token presence for authentication? مضبوطة على false، فإن الدالة المساعدة validate token/3 تُرجع {:ok, nil} دون الرجوع إلى مورد الرمز، مما يتجاوز عمليات التحقق من الغرض في المراحل اللاحقة. ونتيجة لذلك، يتم قبول رموز JWT الصالحة التي لم تنته صلاحيتها والمصدرة لأغراض محددة — مثل رمز sign in الصادر عن WebAuthn أو استراتيجية Password — كبيانات اعتماد حامل للأغراض العامة، مما يمنح التعيين الكامل لـ current user. يمكن للمهاجم الذي يحصل على رمز sign in صالح أن يقوم بالمصادقة بصفته الكيان المستهدف، متجاوزًا دلالات الاستخدام لمرة واحدة والإلغاء. وهذا يتطلب من التطبيق استخدام retrieve from bearer/3 على مسار يمكن الوصول إليه وتوظيف إما WebAuthn أو استراتيجية Password مع تعيين sign in tokens enabled? إلى true.التوصيات
تحديث ash authentication إلى الإصدار 4.14.2 أو أحدث.
تحديث ash authentication إلى الإصدار 5.0.0-rc.13 أو أحدث.
تعيين `require token presence
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾