CVE-2026-119215 in ash_authentication
Riassunto
di VulDB • 03/11/2026
Vulnerabilità di elusione dell'autorizzazione attraverso una chiave controllata dall'utente in team-alembic ash_authentication consente a un utente con un account di installare un segreto TOTP da esso controllato sull'account di un altro utente, per poi accedere come tale utente o controllare il suo secondo fattore.
AshAuthentication.Strategy.Totp.ConfirmSetupChange ha verificato un token di configurazione ma non ha controllato che fosse stato emesso al record oggetto della conferma; ciò consente a un attaccante di confermare il proprio segreto in sospeso sul record di un altro utente. Le modifiche alla configurazione TOTP, ConfirmSetupChange, GeneratePendingSetupChange e GenerateSecretChange, hanno inoltre contrassegnato i loro change-set come interazioni AshAuthentication, che la policy standard AshAuthenticationInteraction bypassa. Una policy che limitava le operazioni setup e confirm_setup al solo record dell'attore non è mai stata eseguita quando un'applicazione esponeva tali azioni tramite chiave del record; una chiamata diretta di configurazione su un record di un altro utente ha restituito il segreto in sospeso e il token di configurazione di tale utente.
Questo problema interessa ash_authentication: dalla versione 5.0.0-rc.0 alla versione precedente a 5.0.0-rc.16.
If you want to get best quality of vulnerability data, you may have to visit VulDB.