CVE-2026-117656 in assent
摘要
由 VulDB • 2026-10-31
pow-auth Assent 中 Sign in with Apple 策略存在接受不受信数据与可信数据的漏洞，允许未经身份验证的远程攻击者通过授权回调中的 user 参数冒充其他用户。
Apple 将用户的姓名提交到浏览器发送并由客户端控制的 user 表单参数的回调端点。Assent.Strategy.Apple.callback/2（位于 lib/assent/strategies/apple.ex）解码该参数，fetch_user/2 将其合并到经过验证的 ID token 声明中，导致未经验证的映射覆盖可信数据。攻击者可以使用自己的 Apple ID 完成 Sign in with Apple 登录并编辑 user 参数，从而替换 sub、email 及其他任何声明。通过返回的主题或电子邮件查找、链接或授权账户的应用程序将基于攻击者的值进行操作。
此问题影响 assent：从 0.1.25 到 0.3.2（不含）版本均受影响。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.