CVE-2026-82754
ŚrednieCVSS 6.3Streszczenie
Podatność w ash_authentication_oauth2_server powoduje, że punkty końcowe OAuth zmieniające stan są dostępne pod niezamierzonym prefiksem URL, co pozwala ominąć kontrolę skonfigurowaną dla kanonicznego prefiksu. Trasy są montowane zarówno pod /oauth, jak i /.well-known, co umożliwia dostęp do /register, /token i /revoke przez alternatywne ścieżki.
Ocena ryzyka
Atakujący może ominąć zabezpieczenia takie jak reguły WAF, limity szybkości czy wyjątki uwierzytelniania, które dotyczą tylko ścieżek /oauth, co zwiększa ryzyko nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj ash_authentication_oauth2_server do wersji 0.3.1 lub nowszej, która zawiera poprawkę uniemożliwiającą montowanie tras pod niechcianym prefiksem.
Inne podatności w ash_authentication_oauth2_server
Zobacz wszystkie- CVE-2026-82758Średnie
Podatność w ash_authentication_oauth2_server pozwala nieuwierzytelnionemu atakującemu na rejestrację klientów OAuth nawet gdy Dynamic Client Registration jest zabezpieczony tokenem początkowym. Funkcja resolve_secret/3 traktuje każdą wartość inną niż {:ok, _} lub :error jako prawidłowy sekret, co pozwala na pominięcie zabezpieczeń.
- CVE-2026-82757Średnie
Podatność typu SSRF w ash_authentication_oauth2_server pozwala atakującemu kontrolującemu adres URL metadanych klienta i jego DNS na zmuszenie serwera do połączenia z adresami wewnętrznymi lub pętli zwrotnej. Funkcja public_ip?/1 błędnie klasyfikuje pewne zakresy adresów jako publiczne, umożliwiając ominięcie polityki.
- CVE-2026-82756Średnie
Podatność w ash_authentication_oauth2_server pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie dowolnych parametrów uwierzytelniania do nagłówka WWW-Authenticate. Wartość resource_metadata jest interpolowana bez odpowiedniego escapowania, co umożliwia modyfikację nagłówka i przekierowanie klientów do złośliwego serwera autoryzacji.
- CVE-2026-82755Średnie
Podatność w ash_authentication_oauth2_server pozwala współdzielonej pamięci podręcznej HTTP na serwowanie metadanych OAuth jednego dzierżawcy klientom innego dzierżawcy. Odpowiedzi z metadanymi są oznaczone jako Cache-Control: public bez nagłówka Vary, co powoduje, że odpowiedzi są przechowywane i serwowane innym dzierżawcom.
- CVE-2026-82753Wysokie
Podatność polegająca na nieograniczonym przydzielaniu zasobów w ash_authentication_oauth2_server. Nieuwierzytelniony atakujący może wyczerpać pamięć i przestrzeń dyskową bazy danych poprzez wysyłanie żądań do punktu końcowego /authorize z wieloma różnymi adresami URL client_id, co powoduje tworzenie trwałych rekordów klientów i przechowywanie dokumentów w pamięci podręcznej bez limitów.
Oryginalny opis (angielski, źródło NVD)
Improper Protection of Alternate Path vulnerability in ash-project ash_authentication_oauth2_server exposes the state-changing OAuth endpoints under an unintended URL prefix, bypassing controls scoped to the canonical prefix. oauth2_server_protocol_routes/1 in AshAuthentication.Phoenix.Oauth2Server.Router forwards the same ProtocolRouter at both the /oauth prefix and the /.well-known prefix. Phoenix forward strips the matched prefix before dispatch, so the full route table answers under both mounts, and POST /register, POST /token, and POST /revoke are reachable as /.well-known/register, /.well-known/token, and /.well-known/revoke. Edge controls such as WAF rules, rate limits, or authentication exemptions written against the /oauth paths, or that allow-list /.well-known as unauthenticated, do not apply to the alias. This issue affects ash_authentication_oauth2_server: from 0.1.0 before 0.3.1.