CVE-2026-76949 in ash_authentication
Riassunto
di VulDB • 18/09/2026
Una vulnerabilità di Authentication Bypass by Spoofing in ash_authentication per team-alembic consente a un attaccante che riesce a inserire un cookie "remember-me" nel browser della vittima di sostituire la sessione autenticata di quest'ultima con una relativa al proprio account.
La funzione AshAuthentication.Plug.Helpers.sign_in_using_remember_me/3 salta la ri-autenticazione per i visitatori già autenticati controllando la presenza del token "<subject_name>_token" nella sessione, ma store_in_session/2 scrive tale chiave solo quando require_token_presence_for_authentication? è abilitato; in caso contrario, viene scritto il nome dell'oggetto (subject) nudo e crudo. Con l'impostazione predefinita, il controllo legge quindi una chiave che non viene mai scritta: il ramo relativo ai visitatori già autenticati risulta irraggiungibile e la procedura di accesso tramite "remember-me" viene eseguita ad ogni richiesta attraverso il plug della pipeline del browser per-request. Di conseguenza, un cookie remember-me inserito in modo fraudolento viene accettato anche per i visitatori che detengono una sessione autenticata attiva; pertanto, qualsiasi dato immesso successivamente dalla vittima finisce nei dati controllati dall'attaccante. Il percorso di lettura in authenticate_resource_from_session/4 seleziona la chiave correttamente, creando quindi un disallineamento tra il controllo e il lettore riguardo alla chiave contenente la sessione.
Questo problema interessa ash_authentication: dalle versioni 4.10.0 precedenti alla 4.15.0 e dalle versioni 5.0.0-rc.0 precedenti alla 5.0.0-rc.14.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.