CVE-2026-76949 in ash_authentication
الملخص
بحسب VulDB • 18/09/2026
ثغرة تجاوز المصادقة عن طريق التزوير في ash_authentication الخاصة بـ team-alembic تتيح لمهاجم قادر على زرع "cookie" خاص بالذاكرة الدائمة (remember-me) في متصفح الضحية استبدال جلسة مصادقتها النشطة بجلسة خاصة بحساب المهاجم.
تقوم دالة `AshAuthentication.Plug.Helpers.sign_in_using_remember_me/3` بتخطي إعادة المصادقة للزائر الذي قام بالفعل بتسجيل الدخول، وذلك من خلال التحقق من وجود "<subject_name>_token" في الجلسة (session). ومع ذلك، تقوم الدالة `store_in_session/2$ بكتابة هذا المفتاح فقط عندما يكون الخيار `require_token_presence_for_authentication?` مفعّلاً، وفي الحالات الأخرى تكتب اسم الموضوع المجرد (bare subject name) فقط. وبالإعداد الافتراضي، فإن شرط الحماية (guard) يقرأ مفتاحاً لا يتم كتابه أبداً، مما يجعل فرع "مستخدم مسجل دخول بالفعل" غير قابل للوصول، وبالتالي يعمل تسجيل الدخول عبر الذاكرة الدائمة في كل طلب يمر من خلال plug pipeline الخاص بالمتصفح على مستوى الطلب. ونتيجة لذلك، يُحتفظ بـ cookie ذاكرة دائمة مزروعة حتى بالنسبة للزائر الذي يحمل جلسة مصادقة نشطة، مما يعني أن أي بيانات يدخلها الضحية لاحقاً ستُخزن ضمن البيانات التي يتحكم فيها المهاجم.
مسار القراءة في `authenticate_resource_from_session/4` يختار المفتاح بشكل صحيح، لذا فإن شرط الحماية ومسار القراءة يختلفان حول أي مفتاح يحمل الجلسة الفعلية.
تؤثر هذه المشكلة على ash_authentication: من الإصدار 4.10.0 قبل 4.15.0 ومن 5.0.0-rc.0 قبل 5.0.0-rc.14.
If you want to get best quality of vulnerability data, you may have to visit VulDB.