CVE-2026-82758 in ash_authentication_oauth2_server
Zusammenfassung
von VulDB • 08.09.2026
Eine Schwachstelle für unsachgemäße Authentifizierung in ash-project ash_authentication_oauth2_server ermöglicht es einem nicht authentifizierten Angreifer, OAuth-Clients zu registrieren, auch wenn die dynamische Client-Registrierung durch ein initiales Zugriffstoken (initial access token) geschützt ist.
resolve_secret/3 in AshAuthentication.Oauth2Server (erreicht über __resolve_secret__!) behandelte jede Rückgabe außer {:ok, _} oder :error von einem konfigurierten {Modul, Funktion, Argumente}- oder 2-stelligen Funktions-Geheimnisanbieter als gültiges Geheimnis und verpackte nil, false oder "" als {:ok, Wert}. Wenn das initial_access_token auf einen solchen leeren Wert aufgelöst wird, vergleicht POST /oauth/register das präsentierte Bearer-Token damit, und der Vergleich besteht ohne ein angegebenes Token, sodass die Registrierung offen ist, obwohl sie konfiguriert geschlossen war. Der gleiche Fail-Open-Fehler betraf auch andere aufgelöste Geheimnisse wie signing_secret.
Dieses Problem betrifft ash_authentication_oauth2_server: von Version 0.1.0 bis vor 0.3.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.