CVE-2026-82758

ash-project ash_authentication_oauth2_server komponentindəki yanlış autentifikasiya zəifliyi, Dinamik Müştəri Qeydiyyatı (Dynamic Client Registration) ilkin giriş tokeni ilə məhdudlaşdırıldığı halda belə, autentifikasiya olunmamış hücumçunun OAuth müştərilərini qeydiyyata almasına şərait yaradır. AshAuthentication.Oauth2Server daxilindəki resolve_secret/3 funksiyası (__resolve_secret__! vasitəsilə çağırılır), konfiqurasiya edilmiş {module, function, args} və ya 2-arqumentli-funksiya sirr təminatçısından gələn {:ok, _} və ya :error olmayan hər hansı cavabı etibarlı sirr kimi qəbul edir və nil, false və ya "" dəyərlərini {:ok, value} formasında paketləyir. initial_access_token bu cür boş dəyərə çevrildikdə, POST /oauth/register sorğusu təqdim olunan bearer tokenini onunla müqayisə edir və heç bir token təqdim edilmədikdə müqayisə uğurlu olur, beləliklə, qapalı konfiqurasiyaya baxmayaraq qeydiyyat açıq qalır. Eyni "fail-open" problemi signing_secret kimi digər həll edilmiş sirlərə də təsir göstərir. Bu problem ash_authentication_oauth2_server versiya 0.1.0-dan 0.3.1-ə qədər olan versiyalarda mövcuddur.