CVE-2026-82758

ash-project ash_authentication_oauth2_server bileşenindeki Hatalı Kimlik Doğrulama zafiyeti, Dinamik İstemci Kaydı bir başlangıç erişim belirteci ile sınırlandırılmış olsa bile, kimliği doğrulanmamış bir saldırganın OAuth istemcilerini kaydetmesine olanak tanır. AshAuthentication.Oauth2Server içindeki resolve_secret/3 (__resolve_secret__! üzerinden erişilen), yapılandırılmış bir {module, function, args} veya 2-arity-function gizli sağlayıcısından gelen {:ok, _} veya :error dışındaki herhangi bir dönüşü geçerli bir gizli değer olarak değerlendirmiş; nil, false veya "" değerlerini {:ok, value} şeklinde sarmalamıştır. initial_access_token bu tür boş bir değere çözümlendiğinde, POST /oauth/register sunulan taşıyıcı belirteci bununla karşılaştırır ve hiçbir belirteç sağlanmadığında karşılaştırma başarılı olur; böylece kayıt kapalı olarak yapılandırılmasına rağmen açık kalır. Aynı hata durumu, signing_secret gibi diğer çözümlenen gizli değerleri de etkilemiştir. Bu sorun, 0.1.0'dan 0.3.1 öncesine kadar olan ash_authentication_oauth2_server sürümlerini etkilemektedir.