CVE-2026-110826

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 4.5.0 até 4.15.0 ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.15

Description Existe um problema onde os tokens de sessão não são invalidados corretamente após um usuário alterar ou redefinir sua senha. Isso ocorre quando a configuração apply on password change? está como true e o AshAuthentication.AddOn.LogOutEverywhere.Transformer utiliza a condição where: changing(hashed password), que é avaliada antes dos hooks before action. Como o AshAuthentication.Strategy.Password.HashPasswordChange define o novo hash dentro de um hook before action, alterações de senha não atômicas — incluindo a ação de redefinição de senha gerada e a ação change password — não conseguem acionar a revogação dos tokens armazenados. Isso permite que um invasor que já possua um token de sessão da vítima permaneça autenticado.

Recommendations Atualize o ash authentication para a versão 4.15.1 ou posterior. Atualize o ash authentication para a versão 5.0.0-rc.16 ou posterior.