CVE-2026-117656

Nome do Software Vulnerável e Versões Afetadas assent versões 0.1.25 até 0.3.1

Description Um invasor remoto não autenticado pode se passar por outros usuários manipulando o parâmetro user durante o callback de autorização do Sign in with Apple. O problema ocorre porque a função Assent.Strategy.Apple.callback/2 em lib/assent/strategies/apple.ex decodifica o parâmetro user, que é controlado pelo cliente e não é assinado pela Apple. Posteriormente, a função fetch user/2 mescla esses dados não verificados sobre as reivindicações do token de ID verificado, permitindo que os valores não verificados substituam reivindicações críticas, como sub e email. Consequentemente, a função normalize/2 marca esses campos de identidade fornecidos pelo invasor como verificados, levando as aplicações a autorizar contas com base em informações fraudulentas.

Recommendations Atualize o assent para a versão 0.3.2. Como solução temporária, remova o parâmetro user dos parâmetros de callback usando Map.delete(params, "user") antes de passá-los para a função Assent.Strategy.Apple.callback/2.