CVE-2026-86688 in ash_authentication
요약
\~에 의해 VulDB • 2026. 09. 18.
ash_authentication의 Session Fixation 취약점으로 인해 공격자가 피해자의 브라우저에 세션 식별자를 심을 경우, 해당 피해자가 로그인한 후에도 인증된 세션을 유지할 수 있습니다.
AshAuthentication.Plug.Helpers.store_in_session/2는 Plug.Conn.put_session/3를 사용하여 기존 세션에 인증된 주체를 기록하며, Plug.Conn.configure_session(renew: true)를 호출하지 않습니다. 따라서 방문자가 가지고 온 식별자가 인증된 세션으로 그대로 전달됩니다. 모든 인증 이벤트(AshAuthentication.Phoenix.Controller.__using__/1에서 주입되는 기본 success/4, mix ash_authentication_phoenix.install에 의해 생성된 AuthController, 그리고 remember-me 자동 로그인)는 이 단일 함수로 이어집니다. AshAuthentication.Phoenix.Plug.store_in_session/2도 이를 위한 defdelegate입니다. 로그아웃 시에도 창이 닫히지 않습니다. clear_session/2는 Plug.Conn.clear_session/1에서 끝나며, 이는 세션 내용을 지우지만 식별자는 그대로 유지하므로, 심어진 식별자가 로그아웃-로그인 사이클을 거쳐도 생존합니다.
이 문제는 ash_authentication에 영향을 미치며, 0.2.0부터 4.15.0 미만 버전과 5.0.0-rc.0부터 5.0.0-rc.14 미만 버전에 해당됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.