CVE-2026-86688

team-alembic ash_authentication kitabxanasındakı Session Fixation zəifliyi, qurbanın brauzerinə sessiya identifikatorunu yerləşdirə bilən hücumçuya, həmin şəxs sistemə daxil olduqdan sonra autentifikasiya olunmuş sessiyanı ələ keçirməyə imkan verir. AshAuthentication.Plug.Helpers.store_in_session/2 funksiyası autentifikasiya olunmuş subyekti Plug.Conn.put_session/3 vasitəsilə mövcud sessiyaya yazır və heç vaxt Plug.Conn.configure_session(renew: true) funksiyasını çağırmır, buna görə də ziyarətçinin gəldiyi identifikator onların autentifikasiya olunmuş sessiyasına ötürülür. Hər bir autentifikasiya hadisəsi bu tək funksiyaya çatır: AshAuthentication.Phoenix.Controller.__using__/1 tərəfindən yerləşdirilən standart success/4, mix ash_authentication_phoenix.install tərəfindən yaradılan AuthController və "remember-me" avto-girişi. AshAuthentication.Phoenix.Plug.store_in_session/2 funksiyası ona yönləndirilmiş bir defdelegate-dir. Çıxış (Logout) prosesi də bu boşluğu aradan qaldırmır, çünki clear_session/2 funksiyası Plug.Conn.clear_session/1 ilə başa çatır ki, bu da sessiya məzmununu təmizləyir lakin identifikatoru olduğu kimi saxlayır, beləliklə, yerləşdirilmiş identifikator çıxış-sonra-giriş dövründən sonra da qalır. Bu problem ash_authentication versiyalarını təsir edir: 0.2.0-dan 4.15.0-a qədər və 5.0.0-rc.0-dan 5.0.0-rc.14-ə qədər olan versiyalar.