CVE-2026-119215 El setup de TOTP en AshAuthentication permite instalar un secreto propio en la cuenta de otro usuario
Vulnerabilidad de omisión de autorización por clave controlada por el usuario en team-alembic ash_authentication: un usuario con cuenta puede instalar un secreto TOTP que controla en la cuenta de otro usuario y luego iniciar sesión como ese usuario o retener su segundo factor. AshAuthentication.Strategy.Totp.ConfirmSetupChange verificaba el token de setup pero no que hubiera sido emitido para el registro que se confirma, y los changesets de setup TOTP también se marcaban como interacciones de AshAuthentication…
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,5 % · percentil 43
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
team-alembic ash_authentication
desde 5.0.0-rc.0 hasta antes de 5.0.0-rc.16
team-alembic ash_authentication
desde 6e7a880698614887527a87df206b4eb0c0fbd8c1 hasta antes de 4058be0f519c2e9b0d2266e90f9c7d8547d54574
Qué hacer
- Verificá si usás ash_authentication y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 7.6 ALTA
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Authorization Bypass Through User-Controlled Key vulnerability in team-alembic ash_authentication allows a user with an account to install a TOTP secret they control on another user's account, and then sign in as that user or hold their second factor.
AshAuthentication.Strategy.Totp.ConfirmSetupChange verified a setup token but did not check that it was issued to the record being confirmed, so an attacker's own pending secret could be confirmed onto another user's record. The TOTP setup changes, ConfirmSetupChange, GeneratePendingSetupChange and GenerateSecretChange, also marked their changesets as AshAuthentication interactions, which the standard AshAuthenticationInteraction policy bypass lets through. A policy limiting setup and confirm_setup to the actor's own record therefore never ran when an application exposed those actions by record key, and a direct setup call on another user's record returned that user's pending secret and setup token.
This issue affects ash_authentication: from 5.0.0-rc.0 before 5.0.0-rc.16.
Referencias (5)
- github.com/team-alembic/ash_authentication/security/advisories/GHSA-gx67-694c-655c
- cna.erlef.org/cves/CVE-2026-119215.html
- osv.dev/vulnerability/EEF-CVE-2026-119215
- github.com/team-alembic/ash_authentication/commit/6e7a880698614887527a87df206b4eb0c0fbd8c1
- github.com/team-alembic/ash_authentication/commit/4058be0f519c2e9b0d2266e90f9c7d8547d54574
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.