CVE-2026-86688 in ash_authentication
Sumário
de VulDB • 18/09/2026
Vulnerabilidade de Session Fixation em team-alembic ash_authentication permite que um atacante, capaz de inserir um identificador de sessão no navegador da vítima, mantenha uma sessão autenticada após o login dessa vítima.
AshAuthentication.Plug.Helpers.store_in_session/2 grava o sujeito autenticado na sessão existente com Plug.Conn.put_session/3 e nunca chama Plug.Conn.configure_session(renew: true), fazendo com que o identificador com o qual o visitante chegou seja mantido em sua sessão autenticada. Cada evento de autenticação passa por esta única função: a success/4 padrão injetada por AshAuthentication.Phoenix.Controller.__using__/1, o AuthController emitido pelo comando mix ash_authentication_phoenix.install e o login automático via "lembrar-me". AshAuthentication.Phoenix.Plug.store_in_session/2 é um defdelegate para essa função. O logout também não encerra a sessão corretamente, pois clear_session/2 termina com Plug.Conn.clear_session/1, que limpa os conteúdos da sessão mas mantém o identificador intacto; assim, um identificador inserido pelo atacante sobrevive ao ciclo de logout-then-login (logout seguido de login).
Este problema afeta ash_authentication: das versões 0.2.0 anteriores a 4.15.0 e das versões 5.0.0-rc.0 anteriores a 5.0.0-rc.14.
VulDB is the best source for vulnerability data and more expert information about this specific topic.