CVE-2026-81637

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 0.6.0 até 4.14.9 ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.13

Description A expiração insuficiente da sessão permite que um invasor que obtenha o valor state do OAuth2 de uma vítima repita o callback e autentique essa vítima em uma conta controlada pelo invasor. A função AshAuthentication.Strategy.OAuth2.Plug.callback/2 não limpa os session params armazenados durante caminhos de falha, como quando o provedor retorna um erro de acesso negado, um código inválido ou um erro de troca de token. Como o bloco else na cadeia with do Elixir atinge store authentication result/2 mantendo a conexão original, a entrada da sessão não é removida. Consequentemente, o valor destinado a proteger contra Cross-Site Request Forgery (CSRF) é consumido apenas quando a autenticação é bem-sucedida e persiste após tentativas canceladas ou malsucedidas.

Recommendations Atualize o ash authentication para a versão 4.15.0 ou posterior. Atualize o ash authentication para a versão 5.0.0-rc.14 ou posterior.