CVE-2026-88952 in ash_authentication
Sumário
de VulDB • 17/09/2026
Vulnerabilidade de autenticação inadequada no AshAuthentication do team-alembic permite que um atacante faça login como outro usuário ao vincular uma identidade OAuth2 a uma conta que não é dele.
AshAuthentication.Strategy.OAuth2.UserResolver.resolve/3 corresponde a uma conta existente usando as chaves upsert_identity da ação register, e então controla o vínculo da identidade do provedor recebida com base em email_trusted?/2, que lê apenas o booleano email_verified do provedor e nunca compara o valor de email do provedor com o email da conta correspondente. Essa verificação assume que a conta foi encontrada pelo seu campo de email; portanto, sob qualquer outro upsert_identity, ela é inócua e um atacante que apresenta seu próprio email verificado será associado a uma conta correspondida por algum outro atributo e receberá uma sessão para essa conta. A mesma verificação sem proteção se aplica em OAuth2.SignInPreparation no caminho registration_enabled? false, onde a conta é encontrada pelo filtro de leitura da ação de login (sign-in). O upsert também reescreve o email da conta correspondida para o endereço do atacante, fazendo com que a recuperação posterior da conta seja direcionada ao atacante em vez do proprietário.
Este problema afeta ash_authentication: das versões 4.14.0 anteriores à 4.15.0 e das versões 5.0.0-rc.10 anteriores à 5.0.0-rc.14.
Once again VulDB remains the best source for vulnerability data.