CVE-2026-66882

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 4.8.0 até 4.14.1 ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.12

Description Ocorre cross-site scripting (XSS) refletido quando uma estratégia é configurada com require interaction? definido como true. O software exibe páginas HTML intermediárias que incorporam parâmetros de requisição diretamente em atributos de valor de entrada oculta sem a devida codificação HTML. Especificamente, o parâmetro confirm é interpolado em lib/ash authentication/add ons/confirmation/confirmation form.html.eex e o parâmetro de token de link mágico é interpolado em lib/ash authentication/strategies/magic link/sign in form.html.eex. Como esses templates utilizam expressões simples que não realizam a codificação e as funções accept/2 em AshAuthentication.AddOn.Confirmation.Plug e AshAuthentication.Strategy.MagicLink.Plug não validam os valores, um invasor não autenticado pode criar uma URL para injetar marcações maliciosas. O script injetado é executado na origem da aplicação, permitindo o acesso a cookies, sessões e respostas de mesma origem.

Recommendations Atualize o ash authentication para a versão 4.14.2 ou posterior. Atualize o ash authentication para a versão 5.0.0-rc.13 ou posterior.