CVE-2026-110826
AshAuthentication log_out_everywhere leaves sessions valid after a password reset or non-atomic password change
CVSS 3.1Medium
6.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите ash_authentication до версий 4.15.1, 5.0.0-rc.16 или более поздних.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В пакете ash_authentication сохраняется валидность сессий после сброса или неатомарной смены пароля. Атакующий с украденным токеном сессии жертвы может оставаться в системе после смены учетных данных.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При параметре apply_on_password_change? true условие where: changing(hashed_password) оценивается до выполнения хуков before_action, тогда как AshAuthentication.Strategy.Password.HashPasswordChange устанавливает новый хеш внутри хука before_action. В результате для всех неатомарных изменений пароля условие ложно, и токены не отзываются.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Сохранение активной сессии жертвы атакующим после сброса или изменения пароля учетной записи.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/team-alembic/ash_authentication/security/advisories/GHSA-j6f8-qcj9-gh4r
- cna.erlef.orghttps://cna.erlef.org/cves/CVE-2026-110826.html
- osv.devhttps://osv.dev/vulnerability/EEF-CVE-2026-110826
- github.comhttps://github.com/team-alembic/ash_authentication/commit/0993f944fbd8d668f941d2ca818da4a1d5917641
- github.comhttps://github.com/team-alembic/ash_authentication/commit/954697f168d55112b5050acddcd936b8bc1fba2b
- github.comhttps://github.com/team-alembic/ash_authentication/commit/2baef4eddeb604569d3564273d03eeef438e002c
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-110826: AshAuthentication log_out_everywhere leaves sessions valid after a password reset or non-atomic password change. URL: https://cve.futuretools.ru/cve/CVE-2026-110826
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_110826,
title = {{CVE-2026-110826: AshAuthentication log_out_everywhere leaves sessions valid after a password reset or non-atomic password change}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-110826}},
note = {Оперативный инженерный анализ киберугроз}
}