Omisión de autenticación mediante captura y reproducción en Craft CMS

Craft CMS acepta PublicKeyCredentialRequestOptions del users/login-with-passkey con el cuerpo de la solicitud no autenticada y no se persisten los datos actualizados de PublicKeyCredentialSource devueltos/modificados por web-auth/webauthn-lib después de la validación de la aserción.

Como resultado, el cuerpo de una solicitud de inicio de sesión con clave de acceso capturada no es de un solo uso. Si se vuelve a publicar requestOptions, response puede validarse con el mismo contador de credenciales obsoletas y crear otra sesión de Craft para ese usuario. Esto debilita las claves de acceso, convirtiéndolas de una autenticación nueva y verificada por el servidor en un artefacto portador reproducible si se expone un cuerpo de aserción exitoso.