CVE-2026-82761
Təsvir
team-alembic AshAuthentication komponentindəki Yoxlama vaxtı ilə istifadə vaxtı (TOCTOU) Yarış şəraiti (Race Condition) zəifliyi, sızdırılmış sehrli linkə (magic link) sahib olan hücumçunun həmin birdəfəlik tokeni təkrar istifadə edərək hədəf subyekt kimi autentifikasiya olunmasına imkan verir. Defolt olaraq təyin edilmiş `single_use_token?` konfiqurasiyalı sehrli link yalnız bir dəfə istifadə edilməlidir, lakin tokenin etibarlılığının yoxlanılması ilə onun istifadəsi arasında heç bir seriyallaşdırma mövcud deyil, buna görə də eyni tokenin eyni vaxtda tətbiqi uğurlu olur və hər biri tam istifadəçi tokeni təmin edir. Giriş prosesi JWT-ni `Jwt.verify/4` vasitəsilə yoxlayır və onu yalnız bundan sonra ləğv edir: `AshAuthentication.Strategy.MagicLink.SignInPreparation` ləğvi `Query.after_action` geri çağırışında, `AshAuthentication.Strategy.MagicLink.SignInChange` isə giriş artıq təsdiqləndikdən sonra işləyən `after_transaction` hook-unda yerinə yetirir. `AshAuthentication.TokenResource.Actions.revoke/3` ləğvi "upsert" kimi yazır, beləliklə, eyni vaxtda baş verən dublikat ləğv əməliyyatı konflikt yaratmaq əvəzinə səssizcə uğurlu olur və heç bir sorğu yarışda uduzmur. Bu problem ash_authentication versiyalarını əhatə edir: 3.9.0-dan 4.15.0-a qədər və 5.0.0-rc.0-dan 5.0.0-rc.14-ə qədər.
Necə düzəltmək olar
- team-alembic ash_authentication4.15.0, 5.0.0-rc.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| team-alembic ash_authentication | 3.9.0 ≤ v < 4.15.0, 5.0.0-rc.0 ≤ v < 5.0.0-rc.14, cf3d227ef25912cf1b0c5fa80f20001f5c46a102 | 4.15.0, 5.0.0-rc.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.