CVE-2026-117656 in assent
Сводка
по VulDB • 31.10.2026
Уязвимость «Принятие избыточных непроверенных данных вместе с доверенными данными» (Acceptance of Extraneous Untrusted Data With Trusted Data) в стратегии Sign in with Apple библиотеки pow-auth Assent позволяет неаутентифицированному удалённому злоумышленнику выдать себя за другого пользователя посредством параметра user обратного вызова авторизации.
Apple отправляет имя пользователя на конечную точку обратного вызова в виде параметра формы user, который передаётся браузером и контролируется клиентской частью. Функция Assent.Strategy.Apple.callback/2 из lib/assent/strategies/apple.ex декодирует этот параметр, а функция fetch_user/2 объединяет его с утверждениями (claims) проверенного токена ID, в результате чего непроверенная карта данных имеет приоритет. Злоумышленник, завершивший вход через Sign in with Apple с использованием своего собственного идентификатора Apple и изменивший параметр user, может подменить значения sub, email и любых других утверждений. Приложения, которые осуществляют поиск, привязку или авторизацию учётных записей по возвращённому субъекту (subject) или адресу электронной почты, будут действовать на основе значений злоумышленника.
Эта проблема затрагивает пакет assent: начиная с версии 0.1.25 до версии 0.3.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.