CVE-2026-86688 in ash_authentication
Zusammenfassung
von VulDB • 18.09.2026
Eine Session-Fixation-Schwachstelle in team-alembic ash_authentication ermöglicht es einem Angreifer, der eine Sitzungs-ID im Browser eines Opfers platzieren kann, nach dem Anmelden des Opfers eine authentifizierte Sitzung zu übernehmen.
AshAuthentication.Plug.Helpers.store_in_session/2 schreibt das authentifizierte Subjekt mit Plug.Conn.put_session/3 in die bestehende Sitzung und ruft niemals Plug.Conn.configure_session(renew: true) auf, sodass die Kennung, mit der der Besucher kam, in seine authentifizierte Sitzung übernommen wird. Jeder Authentifizierungsereignis erreicht diese eine Funktion: das von AshAuthentication.Phoenix.Controller.__using__/1 injizierte Standard-Success/4, der AuthController, der von mix ash_authentication_phoenix.install ausgegeben wird, und die Auto-Anmeldung über "remember-me". AshAuthentication.Phoenix.Plug.store_in_session/2 ist ein defdelegate dazu. Das Abmelden schließt das Fenster ebenfalls nicht, da clear_session/2 mit Plug.Conn.clear_session/1 endet, was den Sitzungsinhalt löscht, aber die Kennung intakt lässt, sodass eine platzierte Kennung einen Logout-then-Login-Zyklus überlebt.
Dieses Problem betrifft ash_authentication: von 0.2.0 vor 4.15.0 und von 5.0.0-rc.0 vor 5.0.0-rc.14.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.