Ash Authentication में टोकन निरसन जाँच तर्क में त्रुटि है जो `mix ash_authentication.install` द्वारा उत्पन्न क्रियाओं में मौजूद है

इस भेद्यता का प्रभाव यह है कि हमलावर रद्द किए गए टोकन का उपयोग करके प्रमाणीकरण प्रक्रिया को बायपास कर सकता है। इसका मतलब है कि वे अनधिकृत पहुंच प्राप्त कर सकते हैं और संवेदनशील डेटा तक पहुंच सकते हैं। मैजिक लिंक रणनीति का उपयोग करने वाले अनुप्रयोगों के लिए, हमलावर एक वैध मैजिक लिंक टोकन प्राप्त कर सकता है और इसका उपयोग एप्लिकेशन में लॉग इन करने के लिए कर सकता है, भले ही उपयोगकर्ता ने पहले टोकन को रद्द कर दिया हो। मैन्युअल रूप से टोकन रद्द करने वाले अनुप्रयोगों के लिए, हमलावर रद्द किए गए टोकन का उपयोग करके अनधिकृत कार्रवाई कर सकता है।

Elixir applications utilizing Ash Authentication, particularly those employing the magic link authentication strategy or implementing custom token revocation mechanisms, are at risk. Shared hosting environments where multiple applications share the same Ash Authentication instance could also amplify the potential impact.

1. 2025-02-11Disclosure

   disclosure

1. आरक्षित2025-02-03
2. प्रकाशित2025-02-11
3. संशोधित2025-02-12
4. EPSS अद्यतन2026-04-02

इस भेद्यता को कम करने के लिए, Ash Authentication को 4.4.9 या बाद के संस्करण में अपडेट करना महत्वपूर्ण है। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, एप्लिकेशन में टोकन रद्द करने की कार्यक्षमता को लागू किया जा सकता है। यह सुनिश्चित करेगा कि रद्द किए गए टोकन को अब वैध नहीं माना जाता है। इसके अतिरिक्त, एप्लिकेशन में अतिरिक्त सुरक्षा नियंत्रण लागू किए जा सकते हैं, जैसे कि दो-कारक प्रमाणीकरण, ताकि अनधिकृत पहुंच के जोखिम को कम किया जा सके।