CVE-2026-81632
Təsvir
team-alembic AshAuthenticationPhoenix komponentindəki həssas sorğu sətiri olan HTTP sorğusundan istifadə zəifliyi, giriş loqlarını, proksi loqlarını və ya brauzer tarixçəsini oxuya bilən şəxsə birdəfəlik giriş tokenini əldə etməyə və onun sahibi kimi autentifikasiya olunmağa imkan verir. Şifrə ilə uğurlu girişdən sonra `AshAuthentication.Phoenix.Components.Password.SignInForm` yeni verilmiş `user.__metadata__.token`-i sorğu parametri kimi istifadə edərək `sign_in_with_token` yolunu qurur və brauzeri GET sorğusu ilə həmin ünvana yönləndirir. Beləliklə, token sorğu sətrində ötürülür və veb serverlər, tərs proksilər, sorğu telemetriyası və brauzerin öz tarixçəsi tərəfindən qeydə alınır; bunların hamısı sorğudan daha uzun müddət saxlanılır və adətən sessiya yaddaşından daha az qorunur. Yönləndirmə hədəfi lokal yolla məhdudlaşdırıldığı üçün bu, açıq yönləndirmə (open redirect) deyil; risk aktiv etibarlılıq məlumatının saxlanılmasıdır. Bu problem aşağıdakı versiyalara təsir edir: ash_authentication_phoenix: 1.7.0-dan 2.17.4-ə qədər və 3.0.0-rc.0-dan 3.0.0-rc.11-ə qədər; ash_authentication: 3.10.5-dən 4.15.0-ə qədər və 5.0.0-rc.0-dan 5.0.0-rc.14-ə qədər.
Necə düzəltmək olar
- team-alembic ash_authentication_phoenix2.17.4, 3.0.0-rc.11 və ya daha yeni versiya
- team-alembic ash_authentication4.15.0, 5.0.0-rc.14 və ya daha yeni versiya
- github.com/team-alembic/ash_authentication_phoenix/commit/920257d0460b9c7cbb42a83d0888c10f4eeeb88a
- github.com/team-alembic/ash_authentication_phoenix/commit/ff5ad8737748afed9cdfde3ec3a05b8a4702a742
- github.com/team-alembic/ash_authentication/commit/bbf345c1bb7aa28bce5dd856ac0ed2427f103859
- github.com/team-alembic/ash_authentication/commit/8d8ddd25c69b669a92a701af74bff42e1aada998
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| team-alembic ash_authentication_phoenix | 1.7.0 ≤ v < 2.17.4, 3.0.0-rc.0 ≤ v < 3.0.0-rc.11, 903f3a386e1aba2f7b070187ef6f31215a92bdfd | 2.17.4, 3.0.0-rc.11 |
| team-alembic ash_authentication | 3.10.5 ≤ v < 4.15.0, 5.0.0-rc.0 ≤ v < 5.0.0-rc.14, eca8cadea0f1595ed2c10a0c177b1da9aa9e5269 | 4.15.0, 5.0.0-rc.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.