Към съдържанието
Търсене

CVE-2026-119215: team-alembic ash_authentication, заобикаляне на вход

7.6

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Authorization Bypass Through User-Controlled Key vulnerability in team-alembic ash_authentication allows a user with an account to install a TOTP secret they control on another user's account, and then sign in as that user or hold their second factor. AshAuthentication.Strategy.Totp.ConfirmSetupChange verified a setup token but did not check that it was issued to the record being confirmed, so an attacker's own pending secret could be confirmed onto another user's record. The TOTP setup changes, ConfirmSetupChange, GeneratePendingSetupChange and GenerateSecretChange, also marked their changesets as AshAuthentication interactions, which the standard AshAuthenticationInteraction policy bypass lets through. A policy limiting setup and confirm_setup to the actor's own record therefore never ran when an application exposed those actions by record key, and a direct setup call on another user's record returned that user's pending secret and setup token. This issue affects ash_authentication: from 5.0.0-rc.0 before 5.0.0-rc.16.

Засегнати продукти

  • team-alembic ash_authentication: 5.0.0-rc.0 преди 5.0.0-rc.16
  • team-alembic ash_authentication: 6e7a880698614887527a87df206b4eb0c0fbd8c1 преди 4058be0f519c2e9b0d2266e90f9c7d8547d54574

Вид слабост

История

  • 3 ноември 2026 Публикувано

Други уязвимости в team-alembic ash_authentication

Първоизточници

CVE-2026-119215: team-alembic ash_authentication, заобикаляне на вход | freedomonline.bg