CVE-2026-91039

team-alembic ash_authentication komponentindəki Spoofing vasitəsilə Autentifikasiyadan Yan Keçmə zəifliyi, dynamic_oidc strategiyasının bir kimlik təminatçısı (identity-provider) bağlantısını idarə edən hücumçuya fərqli bağlantı vasitəsilə yaradılmış lokal istifadəçi kimi daxil olmağa imkan verir. Strategiya hər bir UserIdentity sətirinin strategy sahəsini "<name>/<connection_id>" şəklində yazaraq hər bir bağlantını öz kimlik ad sahəsində (namespace) saxlamaq üçün nəzərdə tutulub, lakin bu ad sahəsi heç vaxt tətbiq olunmur. __connection_id__ yalnız dynamic_oidc/plug.ex faylında hər sorğu üçün qurulan müvəqqəti runtime strukturunda doldurulur və DynamicOidc.IdentityChange.change/3 funksiyası strategiyanı Info.strategy_for_action vasitəsilə compile-time DSL-dən yenidən götürür ki, bu da __connection_id__ dəyəri defstruct standartı olan nil olan saxlanılan strukturu qaytarır. Buna görə də, OAuth2.identity_strategy_name/1 həm kimliyin yazılması, həm də oauth2/user_resolver.ex və oauth2/sign_in_preparation.ex fayllarındakı oxuma əməliyyatları üçün sadə strategiya adına geri dönür. Kimlik resursunun unikal açarı (uid, strategy) olduğundan, bütün bağlantılar üzrə hər sub üçün bir sətir mövcuddur və kimlik uyğunlaşdırma budağı hər hansı e-poçt yoxlamasından əvvəl işləyir. Heç bir strategiya iss parametrini emal etmir, buna görə də emitentləri fərqləndirən başqa heç nə yoxdur: OpenID Connect Core bölmə 5.7 sub dəyərini yalnız bir emitent daxilində unikal edir, beləliklə, subjektləri müstəqil şəkildə nömrələyən iki bağlantı bir subjekt sahəsini paylaşır. Bu problem ash_authentication versiyalarını əhatə edir: 5.0.0-rc.10-dan 5.0.0-rc.14-ə qədər.