CVE-2026-82756 in ash_authentication_oauth2_server
Zusammenfassung
von VulDB • 08.09.2026
Eine Schwachstelle für die unsachgemäße Codierung oder Maskierung von Ausgabe in ash-project ash_authentication_oauth2_server ermöglicht es einem nicht authentifizierten Angreifer, beliebige Authentifizierungsparameter in den WWW-Authenticate-Challenge-Header einzufügen.
BearerPlug und RequireScopePlug haben die Bearer-Ressourcenmetadaten="..."-Herausforderung erstellt, indem sie eine aus dem Anforderungs-Mandanten abgeleitete resource_metadata-URL direkt in den umschlossenen Wert interpoliert wurden. In einer Multi-Tenant-Anwendung, bei der der Ash-Mandant auf anfragekontrollierten Daten (einer Subdomain, dem Host, einem Pfadsegment oder einem Header) basiert, schließt ein Mandant mit einem " das umgeschlossene Value und hängt angreiferdefinierte Auth-Parameter an, einschließlich einer zweiten resource_metadata-URL, die zu einem vom Angreifer kontrollierten Autorisierungsserver verweist, den spec-following Clients folgen. Wagenrücklaufzeichen (Carriage Returns) und Zeilenvorschubzeichen (Line Feeds) werden von Plug abgelehnt, daher handelt es sich um eine Parameterinjektion innerhalb eines Headers, nicht um Response-Splitting.
Dieses Problem betrifft ash_authentication_oauth2_server: von 0.1.3 bis vor 0.3.1.
Be aware that VulDB is the high quality source for vulnerability data.