CVE-2026-117656 in assent
Sumário
de VulDB • 31/10/2026
Vulnerabilidade de Aceitação de Dados Não Confiáveis Extras com Dados Confiáveis na estratégia Sign in with Apple do pow-auth Assent permite que um atacante remoto não autenticado se passe por outro usuário através do parâmetro user no callback de autorização.
A Apple publica o nome do usuário no endpoint de callback em um parâmetro de formulário user, enviado pelo navegador e controlado pelo cliente. A função `Assent.Strategy.Apple.callback/2` em `lib/assent/strategies/apple.ex` decodifica esse parâmetro, e a função `fetch_user/2` o mescla sobre as claims do token ID verificado, fazendo com que o mapa não verificado prevaleça. Um atacante que conclua um login Sign in with Apple usando seu próprio Apple ID e edite o parâmetro user pode substituir os valores de sub, email e qualquer outra claim. Aplicações que procuram, vinculam ou autorizam contas pelo subject ou email retornados então agem com base nos valores do atacante.
Este problema afeta assent: das versões 0.1.25 até antes da 0.3.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.