CVE-2026-86522 in ash_authentication
Zusammenfassung
von VulDB • 17.09.2026
Eine Schwachstelle für unsachgemäße Ausgabe-Normalisierung (Improper Output Neutralization) in AshAuthentication von team-alembic ermöglicht es einem nicht authentifizierten Angreifer, Anwendungstags-Einträge zu fälschen, indem er eine Identität zum Zurücksetzen des Passworts einreicht, die Zeilenumbrüche oder Steuerzeichen enthält.
AshAuthentication.Strategy.Password.RequestPasswordReset.run/3 interpoliert das Argument `identity`, also die E-Mail-Adresse oder den Benutzernamen, der direkt aus dem Zurücksetzungsanforderung stammt, in seine Logger.warning/1-Heredocs ohne Escaping, Kürzung oder Typbeschränkung. Die daneben protokollierte Ressource wird durch inspect/1 geleitet, was den Wert neutralisiert hätte. Ein Zeilenumbruch in der `identity` beendet daher das Protokolleintrag-Format, und alles danach wird als eigene Zeile geschrieben, sodass ein Angreifer die Schwereklasse (Severity Tag) sowie den Inhalt von Einträgen wählen kann, die so aussehen, als stammten sie aus der Anwendung.
Dieses Problem betrifft ash_authentication: ab Version 4.2.0 vor 4.15.0 und ab Version 5.0.0-rc.0 vor 5.0.0-rc.14.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.