CVE-2026-82756
ŚrednieCVSS 6.3Streszczenie
Podatność w ash_authentication_oauth2_server pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie dowolnych parametrów uwierzytelniania do nagłówka WWW-Authenticate. Wartość resource_metadata jest interpolowana bez odpowiedniego escapowania, co umożliwia modyfikację nagłówka i przekierowanie klientów do złośliwego serwera autoryzacji.
Ocena ryzyka
Atakujący może przekierować klientów OAuth do własnego serwera autoryzacji, co może prowadzić do kradzieży kodów autoryzacyjnych i tokenów.
Rekomendacja
Zaktualizuj ash_authentication_oauth2_server do wersji 0.3.1 lub nowszej, która zawiera poprawkę escapowania danych w nagłówku.
Inne podatności w ash_authentication_oauth2_server
Zobacz wszystkie- CVE-2026-82758Średnie
Podatność w ash_authentication_oauth2_server pozwala nieuwierzytelnionemu atakującemu na rejestrację klientów OAuth nawet gdy Dynamic Client Registration jest zabezpieczony tokenem początkowym. Funkcja resolve_secret/3 traktuje każdą wartość inną niż {:ok, _} lub :error jako prawidłowy sekret, co pozwala na pominięcie zabezpieczeń.
- CVE-2026-82757Średnie
Podatność typu SSRF w ash_authentication_oauth2_server pozwala atakującemu kontrolującemu adres URL metadanych klienta i jego DNS na zmuszenie serwera do połączenia z adresami wewnętrznymi lub pętli zwrotnej. Funkcja public_ip?/1 błędnie klasyfikuje pewne zakresy adresów jako publiczne, umożliwiając ominięcie polityki.
- CVE-2026-82755Średnie
Podatność w ash_authentication_oauth2_server pozwala współdzielonej pamięci podręcznej HTTP na serwowanie metadanych OAuth jednego dzierżawcy klientom innego dzierżawcy. Odpowiedzi z metadanymi są oznaczone jako Cache-Control: public bez nagłówka Vary, co powoduje, że odpowiedzi są przechowywane i serwowane innym dzierżawcom.
- CVE-2026-82754Średnie
Podatność w ash_authentication_oauth2_server powoduje, że punkty końcowe OAuth zmieniające stan są dostępne pod niezamierzonym prefiksem URL, co pozwala ominąć kontrolę skonfigurowaną dla kanonicznego prefiksu. Trasy są montowane zarówno pod /oauth, jak i /.well-known, co umożliwia dostęp do /register, /token i /revoke przez alternatywne ścieżki.
- CVE-2026-82753Wysokie
Podatność polegająca na nieograniczonym przydzielaniu zasobów w ash_authentication_oauth2_server. Nieuwierzytelniony atakujący może wyczerpać pamięć i przestrzeń dyskową bazy danych poprzez wysyłanie żądań do punktu końcowego /authorize z wieloma różnymi adresami URL client_id, co powoduje tworzenie trwałych rekordów klientów i przechowywanie dokumentów w pamięci podręcznej bez limitów.
Oryginalny opis (angielski, źródło NVD)
Improper Encoding or Escaping of Output vulnerability in ash-project ash_authentication_oauth2_server allows an unauthenticated attacker to inject arbitrary authentication parameters into the WWW-Authenticate challenge header. BearerPlug and RequireScopePlug built the Bearer resource_metadata="..." challenge by interpolating a resource_metadata URL derived from the request tenant directly into the quoted value. In a multi-tenant application that sets the Ash tenant from request-controlled data (a subdomain, the Host, a path segment, or a header), a tenant containing a " closes the quoted value and appends attacker-chosen auth-params, including a second resource_metadata URL pointing at an attacker-controlled authorization server that spec-following clients follow. Carriage returns and line feeds are rejected by Plug, so this is parameter injection within one header, not response splitting. This issue affects ash_authentication_oauth2_server: from 0.1.3 before 0.3.1.