CVE-2026-86688

team-alembic ash_authentication bileşenindeki Session Fixation zafiyeti, kurbanın tarayıcısına bir oturum tanımlayıcısı yerleştirebilen bir saldırganın, kurban giriş yaptıktan sonra kimliği doğrulanmış bir oturuma sahip olmasına izin verir. AshAuthentication.Plug.Helpers.store_in_session/2, kimliği doğrulanmış konuyu Plug.Conn.put_session/3 ile mevcut oturuma yazar ve hiçbir zaman Plug.Conn.configure_session(renew: true) fonksiyonunu çağırmaz; bu nedenle ziyaretçinin geldiği tanımlayıcı, kimliği doğrulanmış oturumuna aktarılır. Her kimlik doğrulama olayı bu fonksiyona ulaşır: AshAuthentication.Phoenix.Controller.__using__/1 tarafından eklenen varsayılan success/4, mix ash_authentication_phoenix.install tarafından oluşturulan AuthController ve beni hatırla otomatik girişi. AshAuthentication.Phoenix.Plug.store_in_session/2 bunun için bir defdelegate'dır. Oturumu kapatma işlemi de pencereyi kapatmaz çünkü clear_session/2, oturum içeriğini temizleyen ancak tanımlayıcıyı olduğu gibi bırakan Plug.Conn.clear_session/1 ile sona erer; böylece yerleştirilen bir tanımlayıcı, çıkış yapıp tekrar giriş yapma döngüsünden sağ çıkar. Bu sorun ash_authentication ürününü etkilemektedir: 0.2.0'dan 4.15.0 öncesine kadar ve 5.0.0-rc.0'dan 5.0.0-rc.14 öncesine kadar olan sürümler.