CVE-2025-4754
Açıklama
team-alembic ash_authentication_phoenix bileşenindeki Yetersiz Oturum Süresi Dolumu zafiyeti, oturum kapatmadan önce ele geçirilen bir oturum belirtecinin sonrasında da kullanılmaya devam etmesine izin verir. AshAuthentication.Phoenix.Controller tarafından uygulamanın kimlik doğrulama denetleyicisine eklenen varsayılan sign_out/2 fonksiyonu yalnızca Plug.Conn.clear_session/1 fonksiyonunu çağırır. Kaydedilen oturum veya taşıyıcı (bearer) belirteçlerini hiçbir zaman iptal etmez; bu nedenle betik enjeksiyonu, araya girme veya cihaz hırsızlığı yoluyla oturum kapatmadan önce elde edilen bir belirteç, kendi süresi dolana kadar kimlik doğrulamaya devam eder. Şifrenin değiştirilmesi ise hala belirteci iptal etmektedir. Bu sorun ash_authentication_phoenix'in 0.1.0 ile 2.10.0 öncesi sürümlerini etkilemektedir.
Nasıl düzeltilir
- team-alembic ash_authentication_phoenix2.10.0, a3253fb4fc7145aeb403537af1c24d3a8d51ffb1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| team-alembic ash_authentication_phoenix | 0.1.0 ≤ v < 2.10.0, 05ab4f438bf0cd0fdfb279d912bbe0d2c3620e02 ≤ v < a3253fb4fc7145aeb403537af1c24d3a8d51ffb1 | 2.10.0, a3253fb4fc7145aeb403537af1c24d3a8d51ffb1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.