CVE-2026-82761

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 3.9.0 até 4.14.9 ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.13

Description Ocorre uma condição de corrida de Tempo de Verificação ao Tempo de Uso (TOCTOU) quando um link mágico é configurado com single use token?. Isso permite que um invasor com um link mágico vazado repita um token de uso único e se autentique como o sujeito alvo. O problema surge porque a verificação de validade do token não é serializada em relação ao seu consumo, permitindo que resgates simultâneos tenham sucesso e gerem tokens de usuário completos. O processo de login verifica o JWT usando Jwt.verify/4 e o revoga posteriormente via AshAuthentication.Strategy.MagicLink.SignInPreparation em um callback Query.after action e AshAuthentication.Strategy.MagicLink.SignInChange em um hook after transaction. Como AshAuthentication.TokenResource.Actions.revoke/3 executa a revogação como um upsert, revogações duplicadas simultâneas ocorrem com sucesso sem conflitos.

Recommendations Atualize o ash authentication para a versão 4.15.0 ou posterior. Atualize o ash authentication para a versão 5.0.0-rc.14 ou posterior.