CVE-2026-86533

team-alembic AshAuthentication ve AshAuthentication Phoenix bileşenlerindeki Yetersiz Oturum Süresi Dolumu zafiyeti, iptal edilmiş bir oturumun tamamen kimliği doğrulanmış olarak kalmasına izin verir. session_identifier :jti ile yapılandırılmış ve require_token_presence_for_authentication? seçeneği devre dışı bırakılmış bir kaynak, oturum değerini <jti>:<subject> şeklinde saklar. jti, oturum kapatma işleminin söz konusu tek oturumu iptal edebilmesi için oradadır. Ancak okuyucuların hiçbiri buna danışmaz: AshAuthentication.Plug.Helpers.authenticate_resource_from_session/4 ve AshAuthentication.Phoenix.LiveSession.on_mount/4 fonksiyonlarının her ikisi de değeri split_identifier/2 ile ayırır, jti'yı atar ve kaydı yeniden yükleyen AshAuthentication.subject_to_user/3 fonksiyonuna yalın subject bilgisini aktarır. Her fonksiyonun token-presence dalı ise jti ve purpose user ile AshAuthentication.TokenResource.Actions.get_token/3 fonksiyonunu çağırarak token kontrolü yapar. İptal kaydı hiçbir zaman okunmadığı için ne iptal durumu ne de son kullanma tarihi oturumu kısıtlamaz, bu nedenle oturum kapatmadan önce ele geçirilen bir oturum çalışmaya devam eder. Bu sorun şu sürümleri etkilemektedir: ash_authentication: 4.9.1 ile 4.15.0 arası ve 5.0.0-rc.0 ile 5.0.0-rc.14 arası; ash_authentication_phoenix: 2.10.0 ile 2.17.4 arası ve 3.0.0-rc.0 ile 3.0.0-rc.11 arası.