CVE-2026-119215 in ash_authentication
Zusammenfassung
von VulDB • 03.11.2026
Eine Schwachstelle für die Umgehung der Autorisierung durch benutzerkontrollierte Schlüssel in team-alembic ash_authentication ermöglicht es einem Benutzer mit einem Konto, ein TOTP-Geheimnis, das er kontrolliert, auf dem Konto eines anderen Benutzers zu installieren und sich anschließend als dieser Benutzer anzumelden oder dessen zweiten Faktor zu übernehmen.
AshAuthentication.Strategy.Totp.ConfirmSetupChange hat ein Setup-Token überprüft, aber nicht geprüft, ob es für den zu bestätigenden Datensatz ausgestellt wurde. Daher konnte das eigene, ausstehende Geheimnis eines Angreifers auf dem Datensatz eines anderen Benutzers bestätigt werden. Die TOTP-Setupänderungen ConfirmSetupChange, GeneratePendingSetupChange und GenerateSecretChange haben ihre Changesets zudem als AshAuthentication-Interaktionen markiert, was durch die Standardrichtlinie für AshAuthenticationInteraction umgangen wird. Eine Richtlinie, die Setup und confirm_setup auf den eigenen Datensatz des Akteurs beschränkt, wurde daher nie ausgeführt, wenn eine Anwendung diese Aktionen über einen Schlüssel nach Datensatz freigegeben hat; ein direkter Aufruf zum Setup auf dem Datensatz eines anderen Benutzers gab das ausstehende Geheimnis und das Setup-Token dieses Benutzers zurück.
Dieses Problem betrifft ash_authentication: ab Version 5.0.0-rc.0 vor 5.0.0-rc.16.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.