Signal is active with 3 mentions in latest observed window
Recommended action window: Monitor and triage in normal cycle
NVD description
Acceptance of Extraneous Untrusted Data With Trusted Data vulnerability in the Sign in with Apple strategy in pow-auth Assent allows an unauthenticated remote attacker to impersonate another user via the user parameter of the authorization callback. Apple posts the user's name to the callback endpoint in a user form parameter that the browser submits and the client controls. Assent.Strategy.Apple.callback/2 in lib/assent/strategies/apple.ex decodes that parameter, and fetch_user/2 merges it over the claims of the verified ID token, so the unverified map wins. An attacker who completes a Sign in with Apple login with their own Apple ID and edits the user parameter can replace sub, email, and any other claim. Applications that look up, link, or authorize accounts by the returned subject or email then act on the attacker's values. This issue affects assent: from 0.1.25 before 0.3.2.
Priority
LOW
Exploitation
NONE
PoC
NONE
Patch
NONE
Momentum
NONE
🔴 pow-auth assent: user impersonation through Apple sign-in callback (CVE-2026-117656) An attacker signing in with their own Apple ID can alter returned user data to pose as another account. Patch → 0.3.2 https://cve.now/CVE-2026-117656?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical
【10/31 昼】CVE・脆弱性ニュースまとめ ■国内 今朝以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① pow-auth「Assent（Elixir向け認証ライブラリ）」：「Appleでサインイン」で他人になりすませる脆弱性（CVE-2026-117656、CVSS v4.0 9.3） Elixir（プログラミング言語）のWebアプリで外部サービスのログインを扱うライブラリAssentで、「Appleでサインイン」の処理に欠陥が見つかりました。ログイン後にブラウザから送られる「user」という値は利用者側で書き換えられるのに、Assentはこれを検証済みの本人情報（IDトークン）の上に上書きしてしまいます。このため、攻撃者が自分のApple IDでログインしたうえでこの値を書き換えると、利用者IDやメールアドレスを他人のものにすり替えられ、それを使ってアカウントを照合・連携しているアプリでは他人のアカウントとして扱われるおそれがあります。影響は0.1.25以上0.3.2未満で、修正版の0.3.2は10月28日に公開済みです。すぐ更新できない場合は、コールバックに渡す前に「user」の値を取り除く回避策が示されています（その場合は利用者の名前を受け取れなくなります）。31日朝の時点で、悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-117656 出典：pow-auth（GitHub） https://github.com/pow-auth/assent/security/advisories/GHSA-9fr5-g44g-9526 出典：Erlang Ecosystem Foundation https://cna.erlef.org/cves/CVE-2026-117656.html ■注意点 ・Assent（①）を使っていても、「Appleでサインイン」を有効にしていなければこの脆弱性の影響はありません。使っている場合は、依存関係のバージョンを確認して0.3.2以降にしてください。 ・Ivanti Connect Secure（CVE-2026-111357）は米CISAのKEV対応期限が11月2日、GitLab（CVE-2026-97229）とCisco ASA／FTD（CVE-2026-76418）は11月1日（いずれも米国時間）に迫っています。週末のうちに修正が当たっているか確認してください。 ・Linuxカーネル（CVE-2026-98432）は31日昼の時点でも、Ubuntuが修正版を「公開待ち」、RHEL 8／9／10が「影響あり」のままです。配布が始まったらカーネルを更新して再起動してください。 #脆弱性 #CVE #サイバーセキュリティ
🚨 CRITICAL — CVE-2026-117656 Acceptance of Extraneous Untrusted Data With Trusted Data vulnerability in the Sign in with Apple strategy in pow-auth … CVSS 9.3 🔴 No patch yet Full analysis → https://sec.kaitan.id/cves/CVE-2026-117656 #Apple #CyberSecurity #InfoSec