Ash Authentication heeft een gebrekkige token intrekcontrole logica in acties gegenereerd door `mix ash_authentication.install`

De impact van deze kwetsbaarheid is dat aanvallers magische link tokens opnieuw kunnen gebruiken, zelfs nadat ze ongeldig zijn gemaakt. Dit betekent dat een aanvaller, die toegang heeft tot een reeds verlopen of ongeldiggemaakte magische link token, deze token kan gebruiken om zich te authenticeren als de gebruiker. Dit kan leiden tot ongeautoriseerde toegang tot de applicatie en de daaraan gekoppelde data. De kwetsbaarheid is specifiek van toepassing op applicaties die de ingebouwde magische link functionaliteit van Ash Authentication gebruiken en geen aangepaste token revocatie mechanismen hebben geïmplementeerd. Het risico is groter in omgevingen waar tokens gemakkelijk kunnen worden onderschept of gestolen.

Elixir applications utilizing Ash Authentication, particularly those employing the magic link authentication strategy or implementing custom token revocation mechanisms, are at risk. Shared hosting environments where multiple applications share the same Ash Authentication instance could also amplify the potential impact.

1. 2025-02-11Disclosure

   disclosure

1. Gereserveerd2025-02-03
2. Gepubliceerd2025-02-11
3. Gewijzigd2025-02-12
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2025-25202 is het upgraden van Ash Authentication naar versie 4.4.9 of hoger. Indien een upgrade direct niet mogelijk is, overweeg dan het implementeren van een aangepaste token revocatie functionaliteit in uw applicatie. Dit kan door het handmatig ongeldig maken van tokens in uw database of door het gebruik van een andere token opslag methode. Controleer ook of uw applicatie geen tokens opslaat in onbeveiligde locaties. Na de upgrade, verifieer de fix door een magische link token te genereren, deze ongeldig te maken en te controleren of de token niet meer geldig is.