CVE-2026-80218

team-alembic AshAuthentication bileşenindeki Hatalı Kimlik Doğrulama zafiyeti, kimliği doğrulanmış bir kaynak için oturum açma belirtecine sahip olan bir saldırganın, farklı bir kaynağın kullanıcısı olarak oturum açmasına izin verir. AshAuthentication.Strategy.Password.SignInWithTokenPreparation.extract_primary_keys_from_subject/2 fonksiyonu, JWT sub talebini (örneğin user?id=1) URI.parse/1 ile ayrıştırır ve yalnızca sorgu dizesini tutarak, belirtecin düzenlendiği özneyi adlandıran yol segmentini atar. Başka hiçbir işlem bu bağlamayı geri yüklemez: AshAuthentication.Jwt.verify/3 imzayı, exp, nbf, jti ve kütüphane sürümü taleplerini kontrol eder; amaç kontrolü yalnızca sign_in gerektirir ve kalan karşılaştırma, kaynaklar arasında aynı olan birincil anahtar alan adları üzerinden yapılır. WebAuthn oturum açma ve beni hatırla hazırlıkları, aynı yardımcı fonksiyonun kopyalarını taşır ve yolu aynı şekilde düşürür. Sihirli bağlantı (magic link) oturum açma yolu, özne adını kaynağa sabitler ve etkilenmez. Bu sorun şu ash_authentication sürümlerini etkilemektedir: 3.10.5'ten 4.15.0 öncesine kadar ve 5.0.0-rc.0'dan 5.0.0-rc.14 öncesine kadar.