CVE-2026-76949

team-alembic ash_authentication komponentindəki Spoofing vasitəsilə autentifikasiyadan yan keçmə zəifliyi, qurbanın brauzerinə "remember-me" kukisini yerləşdirə bilən hücumçuya həmin qurbanın autentifikasiya olunmuş sessiyasını öz hesabı ilə əvəz etməyə imkan verir. AshAuthentication.Plug.Helpers.sign_in_using_remember_me/3 funksiyası sessiyada "<subject_name>_token" açarını yoxlayaraq artıq daxil olmuş ziyarətçinin yenidən autentifikasiyasından yan keçir, lakin store_in_session/2 funksiyası həmin açarı yalnız require_token_presence_for_authentication? aktiv olduqda yazır, əks halda sadəcə subyekt adını yazır. Defolt parametrlərdə mühafizə mexanizmi heç vaxt yazılmayan açarı oxuyur, onun "artıq daxil olub" budağına çatmaq mümkün olmur və hər sorğu zamanı brauzer konveyeri plagi vasitəsilə "remember-me" giriş prosesi icra edilir. Nəticədə, canlı autentifikasiya sessiyasına malik olan ziyarətçi üçün belə yerləşdirilmiş "remember-me" kukisi qəbul edilir və qurbanın sonradan daxil etdiyi bütün məlumatlar hücumçunun nəzarət etdiyi verilənlərə düşür. authenticate_resource_from_session/4 funksiyasındakı oxuma yolu açarı düzgün seçir, buna görə də mühafizə mexanizmi və oxuyucu sessiyanın hansı açarda saxlandığı barədə fərqli rəylərə malik olur. Bu problem ash_authentication versiyalarını əhatə edir: 4.10.0-dan 4.15.0-a qədər və 5.0.0-rc.0-dan 5.0.0-rc.14-ə qədər.