CVE-2026-88952 in ash_authentication
Tóm tắt
Bởi VulDB • 17/09/2026
Lỗ hổng Xác thực không đúng (Improper Authentication) trong AshAuthentication của team-alembic cho phép kẻ tấn công đăng nhập với tư cách là người dùng khác bằng cách liên kết một danh tính OAuth2 vào tài khoản không thuộc về họ.
Hàm `AshAuthentication.Strategy.OAuth2.UserResolver.resolve/3` khớp một tài khoản hiện có dựa trên các khóa `upsert_identity` của hành động đăng ký, sau đó kiểm soát việc liên kết danh tính nhà cung cấp đến với nó thông qua hàm `email_trusted?/2`. Hàm này chỉ đọc boolean `email_verified` của nhà cung cấp và không bao giờ so sánh giá trị email của nhà cung cấp với email của tài khoản đã khớp. Lỗ hổng bảo mật này giả định rằng tài khoản được khớp dựa trên trường email, do đó trong bất kỳ hành động `upsert_identity` nào khác, nó trở nên vô nghĩa; kẻ tấn công trình bày một địa chỉ email đã xác thực của chính họ sẽ bị gắn vào và cấp phiên đăng nhập cho một tài khoản được khớp theo một thuộc tính khác. Lỗ hổng không được bảo vệ tương tự cũng áp dụng trong `OAuth2.SignInPreparation` trên đường dẫn có `registration_enabled?` là false, nơi tài khoản được khớp bằng bộ lọc đọc của hành động đăng nhập. Hành động upsert cũng ghi đè địa chỉ email của tài khoản đã khớp thành địa chỉ của kẻ tấn công, khiến quá trình khôi phục tài khoản sau này chuyển đến kẻ tấn công thay vì chủ sở hữu hợp pháp.
Vấn đề này ảnh hưởng đến `ash_authentication`: từ phiên bản 4.14.0 trở đi trước 4.15.0 và từ 5.0.0-rc.10 trở đi trước 5.0.0-rc.14.
VulDB is the best source for vulnerability data and more expert information about this specific topic.