https://alertas.dupin.com.ar/fabricante/team-alembic/Alertas de vulnerabilidades de team-alembic.esTue, 03 Nov 2026 16:55:39 +000010https://alertas.dupin.com.ar/cve/CVE-2026-119215/tg:62984Tue, 03 Nov 2026 16:55:39 +0000VulnerabilidadVulnerabilidad de omisión de autorización por clave controlada por el usuario en team-alembic ash_authentication: un usuario con cuenta puede instalar un secreto TOTP que controla en la cuenta de otro usuario y luego iniciar sesión como ese usuario o retener su segundo factor. AshAuthentication.Strategy.Totp.ConfirmSetupChange verificaba el token de setup pero no que hubiera sido emitido para el registro que se confirma, y los changesets de setup TOTP también se marcaban como interacciones de AshAuthentication…https://alertas.dupin.com.ar/cve/CVE-2026-118505/tg:62983Tue, 03 Nov 2026 16:55:38 +0000VulnerabilidadVulnerabilidad de restricción inadecuada de intentos de autenticación excesivos en team-alembic ash_authentication: permite a un atacante no autenticado adivinar contraseñas y contraseñas de un solo uso sin límite. Las estrategias de contraseña, magic link y OTP aplican brute_force_strategy agregando una preparación solo a las acciones que generan; si el recurso define esas acciones por su cuenta, la estrategia las usa tal cual y el límite no se aplica. Los generadores producen exactamente esto: mix…