CVE-2026-78223

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 0.2.0 até 4.14.9 ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.13

Description A verificação inadequada de assinaturas criptográficas no AshAuthentication permite que um chamador da ação de revogação de token neutralize uma revogação ou escreva linhas arbitrárias no recurso de token. A função AshAuthentication.TokenResource.RevokeTokenChange.change/3 lê o argumento :token e o decodifica usando AshAuthentication.Jwt.peek/1, que delega para Joken.peek claims/1 sem realizar a verificação de assinatura. Consequentemente, as claims jti, exp e sub são gravadas diretamente no registro de revogação. Um invasor pode fornecer um token forjado com uma claim exp retroativa, fazendo com que a linha de revogação seja tratada como expirada e removida por expunge expired, o que permite que o token genuíno passe na verificação revoked?. Além disso, valores arbitrários de jti e sub podem ser inseridos no recurso.

Recommendations Atualize o ash authentication para a versão 4.15.0 ou posterior. Atualize o ash authentication para a versão 5.0.0-rc.14 ou posterior.