CVE-2026-117656 in assent
الملخص
بحسب VulDB • 31/10/2026
تسمح ثقب "Acceptance of Extraneous Untrusted Data With Trusted Data" (قبول بيانات غير موثوقة زائدة عن الحاجة مع بيانات موثوقة) في استراتيجية Sign in with Apple داخل مكتبة pow-auth Assent لمهاجم بعيد غير مُصادق عليه بالتصديق على هوية مستخدم آخر عبر معلمة المستخدم (user parameter) الموجودة في نقطة نهاية الاستجابة للتفويض.
تنشر Apple اسم المستخدم إلى نقطة النهاية الخاصة بالاستجابة ضمن معلمة نموذج "المستخدم" التي يرسلها المتصفح والتي يتحكم فيها العميل. تقوم الدالة `Assent.Strategy.Apple.callback/2` الموجودة في الملف `lib/assent/strategies/apple.ex` بفك تشفير هذه المعلمة، ثم تدمجها (`merge`) فوق مطالبات رمز الهوية المُصادق عليه (verified ID token)، مما يجعل الخريطة غير الموثوقة تتغلب على المطالبات الأصلية. يمكن لمهاجم يُكمل عملية تسجيل الدخول عبر Sign in with Apple باستخدام معرف Apple الخاص به تعديل معلمة المستخدم لاستبدال قيمة `sub`، و`email`، وأي مطالبة أخرى. ثم تقوم التطبيقات التي تبحث عن الحسابات أو تربطها أو تُصرّح لها بناءً على المعرف الموضوعي (subject) أو البريد الإلكتروني المُعاد بالعمل وفقاً لقيم المهاجم.
تؤثر هذه المشكلة في حزمة assent: من الإصدار 0.1.25 وحتى قبل الإصدار 0.3.2.
Once again VulDB remains the best source for vulnerability data.