CVE-2026-117656 in assent
Résumé
par VulDB • 31/10/2026
Vulnérabilité d'acceptation de données non fiables en plus des données approuvées dans la stratégie « Sign in with Apple » de pow-auth Assent permet à un attaquant distant non authentifié d'usurper l'identité d'un autre utilisateur via le paramètre user du callback d'autorisation.
Apple publie le nom de l'utilisateur vers le point de terminaison (endpoint) du callback dans un paramètre de formulaire `user` soumis par le navigateur et contrôlé par le client. La fonction `Assent.Strategy.Apple.callback/2` située dans `lib/assent/strategies/apple.ex` décode ce paramètre, et la fonction `fetch_user/2` fusionne celui-ci avec les revendications (claims) du jeton d'identité vérifié, de sorte que le map non vérisé l'emporte. Un attaquant qui effectue une connexion « Sign in with Apple » avec son propre identifiant Apple et modifie le paramètre `user` peut remplacer la valeur de `sub`, `email` et toute autre revendication. Les applications qui recherchent, lient ou autorisent des comptes en se basant sur l'identifiant subject retourné ou l'email agissent alors selon les valeurs de l'attaquant.
Cette vulnérabilité affecte assent : à partir de la version 0.1.25 jusqu'à (mais non inclus) la version 0.3.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.