CVE-2026-119215

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.15

Description Uma falha de bypass de autorização permite que um usuário autenticado instale um segredo de Senha Única Temporária (TOTP) sob seu controle na conta de outro usuário, permitindo que ele acesse a conta da vítima ou controle seu segundo fator de autenticação. A função AshAuthentication.Strategy.Totp.ConfirmSetupChange() verificava um token de configuração, mas não checava se ele havia sido emitido para o registro que estava sendo confirmado. Além disso, os changesets ConfirmSetupChange, GeneratePendingSetupChange e GenerateSecretChange eram marcados como interações de AshAuthentication, o que permitia a evasão de políticas padrão. Consequentemente, políticas que limitavam setup e confirm setup ao próprio registro do ator nunca eram executadas quando essas ações eram expostas por chave de registro, e uma chamada direta de setup no registro de outro usuário retornava o segredo pendente e o token de configuração desse usuário.

Recommendations Atualize o ash authentication para a versão 5.0.0-rc.16 ou posterior. Como medida paliativa temporária, não exponha setup ou confirm setup em um registro escolhido pelo chamador; em vez disso, chame-os através de AshAuthentication.Strategy.Totp.Actions utilizando o usuário autenticado.