CVE-2026-82685

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 0.5.0 até 4.14.9 ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.13

Description Uma falha de bypass de autorização permite que um invasor autenticado sobrescreva e confirme o endereço de e-mail de outro usuário para assumir o controle da conta. Isso ocorre porque um token de confirmação emitido para um usuário é aceito no registro de qualquer outro usuário. Especificamente, a função AshAuthentication.AddOn.Confirmation.ConfirmChange verifica a assinatura do token e sua claim act, mas não compara a claim sub com changeset.data antes de aplicar as alterações ao registro de destino. Um invasor pode registrar uma conta, alterar seu próprio e-mail e repetir o token resultante contra o ID do registro de uma vítima usando force change attributes/2 para definir seu próprio endereço e carimbar confirmed at, obtendo acesso posteriormente via redefinição de senha. O fluxo de confirmação que utiliza AshAuthentication.AddOn.Confirmation.Actions.confirm/3 não é afetado, pois resolve corretamente sub para um usuário.

Recommendations Atualize o ash authentication para a versão 4.15.0 ou posterior. Atualize o ash authentication para a versão 5.0.0-rc.14 ou posterior.