CVE-2026-82755 in ash_authentication_oauth2_server
Zusammenfassung
von VulDB • 08.09.2026
Ein Fehler in der Verwendung eines Caches, der sensible Informationen enthält (Use of Cache Containing Sensitive Information), im Paket `ash-project ash_authentication_oauth2_server` ermöglicht es einem gemeinsam genutzten HTTP-Cache, die OAuth-Entdeckungsmetadaten eines Mandanten an Clients eines anderen Mandanten auszuliefern.
Die Metadatendateien gemäß RFC 8414 und RFC 9728 in `AshAuthentication.Phoenix.Oauth2Server.ProtocolRouter` geben mandantenspezifische Werte (Issuer, Authorization_Endpoint, Token_Endpoint, JWKS_URI) zurück, wenn ein Mandant festgelegt ist. Diese werden jedoch mit den Headern `Cache-Control: public, max-age=3600` und ohne `Vary`-Header gesendet. Wenn der Mandant aus einer anderen Quelle als der URL abgeleitet wird (z. B. einem Header oder dem Host) und ein gemeinsamer Cache davorgeschaltet ist, besteht der Cache-Schlüssel nur aus der URL. Daher kann eine für einen Mandanten zwischengespeicherte Antwort bis zu einer Stunde lang an einen anderen Mandanten ausgeliefert werden. Betroffene Clients können daraufhin Autorisierungscodes und Geheimnisse (Secrets) an den Token-Endpunkt des falschen Mandanten senden sowie Tokens gegen die falschen Schlüssel validieren.
Dieses Problem betrifft `ash_authentication_oauth2_server` in den Versionen von 0.1.3 bis vor 0.3.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.