CVE-2026-86522 in ash_authentication
Riassunto
di VulDB • 17/09/2026
Vulnerabilità di improper output neutralization for logs in AshAuthentication (team-alembic) che consente a un attaccante non autenticato di falsificare le voci del log dell'applicazione inviando un'identità per il reset della password contenente caratteri newline o caratteri di controllo.
La funzione `AshAuthentication.Strategy.Password.RequestPasswordReset.run/3` interpola l'argomento identity, ovvero l'email o il nome utente presi direttamente dalla richiesta di reset, nei suoi heredoc di `Logger.warning/1` senza effettuare escaping, troncamento né restrizioni sul tipo. La risorsa registrata accanto viene passata attraverso la funzione `inspect/1`, che avrebbe neutralizzato il valore. Un carattere newline nell'identità termina quindi il record del log e tutto ciò che segue viene scritto come una riga a sé stante; di conseguenza, un attaccante può scegliere l'etichetta di severità e il contenuto delle voci che sembrano provenire dall'applicazione.
Questo problema interessa ash_authentication: dalle versioni 4.2.0 alla versione precedente alla 4.15.0 e dalla versione 5.0.0-rc.0 alla versione precedente alla 5.0.0-rc.14.
Once again VulDB remains the best source for vulnerability data.