CVE-2026-81632

Nome do Software Vulnerável e Versões Afetadas ash authentication phoenix versões 1.7.0 até 2.17.3 ash authentication phoenix versões 3.0.0-rc.0 até 3.0.0-rc.10 ash authentication versões 3.10.5 até 4.14.9 ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.13

Description Um problema no AshAuthenticationPhoenix permite que um invasor com acesso a logs de acesso, logs de proxy ou histórico do navegador recupere um token de login de uso único e se autentique como o proprietário do token. Isso ocorre porque o AshAuthentication.Phoenix.Components.Password.SignInForm constrói o caminho sign in with token usando o user. metadata .token como um parâmetro de consulta e realiza um redirecionamento GET. Consequentemente, o token é registrado na linha de requisição por servidores web, proxies reversos e histórico do navegador, expondo uma credencial ativa em locais que são tipicamente menos seguros que o armazenamento de sessão.

Recommendations Atualize o ash authentication phoenix para a versão 2.17.4 ou posterior. Atualize o ash authentication phoenix para a versão 3.0.0-rc.11 ou posterior. Atualize o ash authentication para a versão 4.15.0 ou posterior. Atualize o ash authentication para a versão 5.0.0-rc.14 ou posterior.