CVE-2026-76949 in ash_authentication
Zusammenfassung
von VulDB • 18.09.2026
Eine Schwachstelle zur Umgehung der Authentifizierung durch Spoofing in ash_authentication von team-alembic ermöglicht es einem Angreifer, der ein „remember-me“-Cookie im Browser eines Opfers platzieren kann, die authentifizierte Sitzung des Opfers durch eine für das eigene Konto des Angreifers zu ersetzen.
AshAuthentication.Plug.Helpers.sign_in_using_remember_me/3 überspringt die erneute Authentifizierung eines bereits angemeldeten Besuchers, indem es in der Sitzung nach „<subject_name>_token“ sucht, aber store_in_session/2 schreibt diesen Schlüssel nur dann, wenn require_token_presence_for_authentication? aktiviert ist; andernfalls wird lediglich der nackte Subjektname geschrieben. Bei der Standardeinstellung liest die Schutzabfrage daher einen Schlüssel, der niemals geschrieben wird, ihr Zweig für bereits angemeldete Benutzer ist unerreichbar, und das Anmelden über „remember-me“ erfolgt bei jeder Anfrage durch den pro-Anfrage-Browser-Pipeline-Plug. Ein platziertes „remember-me“-Cookie wird folglich auch für einen Besucher mit einer aktiven authentifizierten Sitzung berücksichtigt, sodass alles, was das Opfer danach eingibt, in Daten landet, die der Angreifer kontrolliert. Der Lesevorgang in authenticate_resource_from_session/4 wählt den Schlüssel korrekt aus, daher stimmen die Schutzabfrage und der Leser nicht überein, welcher Schlüssel die Sitzung enthält.
Dieses Problem betrifft ash_authentication: ab Version 4.10.0 vor 4.15.0 sowie ab 5.0.0-rc.0 vor 5.0.0-rc.14.
Once again VulDB remains the best source for vulnerability data.