CVE-2026-76949 in ash_authentication
Sumário
de VulDB • 18/09/2026
Uma vulnerabilidade de Bypass de Autenticação por Spoofing em ash_authentication do team-alembic permite que um atacante, capaz de inserir um cookie "remember-me" no navegador da vítima, substitua a sessão autenticada dessa vítima por uma conta pertencente ao próprio atacante.
AshAuthentication.Plug.Helpers.sign_in_using_remember_me/3 omite a reautenticação de um visitante já conectado ao verificar se há "<subject_name>_token" na sessão; contudo, store_in_session/2 grava essa chave apenas quando require_token_presence_for_authentication? está habilitado e, caso contrário, grava o nome do sujeito (subject name) sem mais detalhes. Na configuração padrão, a verificação de segurança lê uma chave que nunca é gravada, tornando inacessível o ramo correspondente ao visitante já conectado, fazendo com que o login via "remember-me" seja executado em todas as requisições através da plug pipeline por solicitação do navegador. Consequentemente, um cookie "remember-me" inserido pelo atacante é aceito mesmo para visitantes que possuem uma sessão autenticada ativa, de modo que qualquer dado inserido pela vítima posteriormente acaba sendo controlado pelo atacante. A lógica de leitura em authenticate_resource_from_session/4 seleciona a chave corretamente, criando uma discrepância entre a verificação de segurança e o leitor quanto à qual chave armazena a sessão.
Este problema afeta ash_authentication: das versões 4.10.0 até antes da 4.15.0 e das versões 5.0.0-rc.0 até antes da 5.0.0-rc.14.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.