CVE-2026-86522

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 4.2.0 até 4.14.9 ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.13

Description Um invasor não autenticado pode forjar entradas de log da aplicação ao enviar uma identidade de redefinição de senha contendo quebras de linha ou caracteres de controle. A função AshAuthentication.Strategy.Password.RequestPasswordReset.run/3 interpola a variável identity, que contém o e-mail ou nome de usuário da solicitação de redefinição, em heredocs de Logger.warning/1 sem escape, truncamento ou restrição de tipo. Como uma quebra de linha na variável identity encerra o registro de log, qualquer texto subsequente é gravado como uma nova linha, permitindo que um invasor manipule a tag de severidade e o conteúdo das entradas para que pareçam ter sido originadas pela aplicação.

Recommendations Atualize o ash authentication para a versão 4.15.0 ou posterior. Atualize o ash authentication para a versão 5.0.0-rc.14 ou posterior.