CVE-2026-88952 in ash_authentication
Resumen
por VulDB • 2026-09-17
Vulnerabilidad de autenticación incorrecta en AshAuthentication (team-alembic) que permite a un atacante iniciar sesión como otro usuario al vincular una identidad OAuth2 con una cuenta que no le pertenece.
AshAuthentication.Strategy.OAuth2.UserResolver.resolve/3 coincide con una cuenta existente utilizando las claves upsert_identity de la acción register, y luego controla (gates) la vinculación de la identidad del proveedor entrante a dicha cuenta mediante email_trusted?/2, el cual lee únicamente el valor booleano email_verified del proveedor y nunca compara el correo electrónico del proveedor con el correo electrónico de la cuenta coincidente. Este mecanismo de control asume que la cuenta se ha coincidido por su campo de correo electrónico; por lo tanto, bajo cualquier otro upsert_identity es ineficaz (vacuo), y un atacante que presente su propio correo electrónico verificado queda asociado a una cuenta y recibe una sesión para dicha cuenta, la cual fue coincida en base a algún otro atributo. El mismo mecanismo de control sin protección se aplica en OAuth2.SignInPreparation en el camino registration_enabled? false, donde la cuenta se coincide mediante el filtro read de la acción de inicio de sesión. La operación upsert también sobrescribe el correo electrónico de la cuenta coincidente con la dirección del atacante, por lo que la recuperación posterior de la cuenta llega al atacante en lugar del propietario legítimo.
Este problema afecta a ash_authentication: desde la versión 4.14.0 hasta antes de 4.15.0 y desde 5.0.0-rc.10 hasta antes de 5.0.0-rc.14.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.