CVE-2026-118505

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 5.0.0-rc.4 até 5.0.0-rc.15

Description Uma restrição inadequada de tentativas excessivas de autenticação permite que um invasor não autenticado tente adivinhar senhas e senhas de uso único (OTP) sem limite. Isso ocorre porque a brute force strategy é aplicada apenas às ações geradas pela estratégia; se um recurso define essas ações manualmente, a restrição não é aplicada. Especificamente, ações criadas via mix ash authentication.install, mix ash authentication.upgrade e mix ash authentication.add strategy.otp podem carecer da preparação necessária. Além disso, quando registration enabled? está definido como true, o login por OTP é tratado como uma ação de criação, que ignora as preparações, tornando a brute force strategy {:preparation, module} ineficaz.

Recommendations Para as versões 5.0.0-rc.4 até 5.0.0-rc.15, adicione a preparação de força bruta a cada ação protegida definida no recurso ou remova a ação manual para que a estratégia a gere. Para brute force strategy {:audit log, name}, aplique prepare {AshAuthentication.AddOn.AuditLog.IdentityBruteForcePreparation, action name: <action>} às ações de login por senha, solicitação de redefinição de senha, solicitação de link mágico e solicitação de OTP, e aplique prepare {AshAuthentication.AddOn.AuditLog.BruteForcePreparation, action name: <action>} às ações de leitura de login por OTP. Para {:preparation, MyModule}, aplique prepare MyModule às ações afetadas. Para configurações de OTP onde registration enabled? é true, altere para brute force strategy :rate limit.