CVE-2026-66882

ash authentication من الإصدار 4.8.0 إلى 4.14.1

ash authentication من الإصدار 5.0.0-rc.0 إلى 5.0.0-rc.12

تحدث ثغرة البرمجة النصية عبر المواقع (XSS) المنعكسة عندما يتم تكوين إستراتيجية مع تعيين require interaction? على ”true“. يقدم البرنامج صفحات HTML وسيطة تدمج معلمات الطلب مباشرةً في سمات قيم الإدخال المخفية دون إجراء عملية الهروب من أحرف HTML. وعلى وجه التحديد، يتم إدراج المعلمة confirm في الملف lib/ash authentication/add ons/confirmation/confirmation form.html.eex، ويتم إدراج معلمة رمز الرابط السحري في الملف lib/ash authentication/strategies/magic link/sign in form.html.eex. ونظرًا لأن هذه القوالب تستخدم تعبيرات بسيطة لا تقوم بأي عملية هروب، ولأن وظائف accept/2 في AshAuthentication.AddOn.Confirmation.Plug وAshAuthentication.Strategy.MagicLink.Plug لا تتحقق من صحة القيم، يمكن لمهاجم غير مصدق صياغة عنوان URL لحقن علامات برمجية ضارة. يتم تنفيذ البرنامج النصي المحقون في مصدر التطبيق، مما يسمح بالوصول إلى ملفات تعريف الارتباط والجلسات والاستجابات من نفس المصدر.

تحديث ash authentication إلى الإصدار 4.14.2 أو أحدث.

تحديث ash authentication إلى الإصدار 5.0.0-rc.13 أو أحدث.