CVE-2026-82761

team-alembic AshAuthentication bileşenindeki bir Time-of-check Time-of-use (TOCTOU) Yarış Durumu (Race Condition) zafiyeti, sızdırılmış bir sihirli bağlantıya sahip olan bir saldırganın tek kullanımlık belirteci tekrar kullanarak hedef kullanıcı olarak kimlik doğrulamasına olanak tanır. Varsayılan ayar olan single_use_token? ile yapılandırılan bir sihirli bağlantının tam olarak bir kez kullanılabilmesi amaçlanmıştır; ancak belirtecin geçerlilik kontrolü ile tüketimi arasında herhangi bir serileştirme işlemi yapılmadığından, aynı belirtecin eşzamanlı kullanımı başarılı olur ve her biri tam bir kullanıcı belirteci üretir. Oturum açma işlemi, JWT'yi Jwt.verify/4 ile doğrular ve iptalini yalnızca sonrasında gerçekleştirir: AshAuthentication.Strategy.MagicLink.SignInPreparation bir Query.after_action geri çağırmasında, AshAuthentication.Strategy.MagicLink.SignInChange ise oturum açma işlemi zaten commit edildikten sonra çalışan bir after_transaction kancasında iptal işlemini yapar. AshAuthentication.TokenResource.Actions.revoke/3 iptal işlemini bir upsert olarak yazdığı için, eşzamanlı yinelenen bir iptal işlemi çakışmak yerine sessizce başarılı olur ve hiçbir istek yarışı kaybetmez. Bu sorun ash_authentication ürününü etkilemektedir: 3.9.0'dan 4.15.0 öncesine kadar ve 5.0.0-rc.0'dan 5.0.0-rc.14 öncesine kadar olan sürümler.