CVE-2026-76949 in ash_authentication
Resumen
por VulDB • 2026-09-18
Una vulnerabilidad de elusión de autenticación por suplantación en ash_authentication de team-alembic permite que un atacante, capaz de instalar una cookie "remember-me" (recordarme) en el navegador de la víctima, reemplace la sesión autenticada de dicha víctima con otra correspondiente a su propia cuenta.
AshAuthentication.Plug.Helpers.sign_in_using_remember_me/3 omite volver a autenticar a un visitante ya conectado al verificar si existe "<subject_name>_token" en la sesión; sin embargo, store_in_session/2 escribe esa clave únicamente cuando require_token_presence_for_authentication? está habilitado y, de lo contrario, escribe el nombre del sujeto sin más. Con la configuración predeterminada, la condición guarda lee una clave que nunca se ha escrito, su rama correspondiente a un usuario ya conectado es inalcanzable y el inicio de sesión mediante "remember-me" se ejecuta en cada solicitud a través del plug del pipeline por solicitud para el navegador. En consecuencia, una cookie remember-me instalada ad hoc se acepta incluso para un visitante que mantiene una sesión autenticada activa, por lo que cualquier dato introducido posteriormente queda bajo control del atacante. La ruta de lectura en authenticate_resource_from_session/4 selecciona la clave correctamente, por lo que existe discrepancia entre la condición guarda y el lector sobre qué clave contiene la sesión.
Este problema afecta a ash_authentication: desde la versión 4.10.0 hasta antes de 4.15.0, y desde 5.0.0-rc.0 hasta antes de 5.0.0-rc.14.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.