CVE-2024-11217
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w serwerze OAuth powoduje logowanie sekretów klienta OAuth2 na poziomie debugowania lub wyższym dla opcji logowania OIDC/GitHub/GitLab/Google.
Ocena ryzyka
Ujawnienie sekretów klienta może umożliwić atakującemu podszycie się pod aplikację i przejęcie kontroli nad sesjami użytkowników.
Rekomendacja
Zaleca się ustawienie poziomu logowania poniżej debugowania w środowiskach produkcyjnych oraz regularne przeglądanie logów w poszukiwaniu wycieków sekretów.
Inne podatności w OAuth-server
Zobacz wszystkie- CVE-2026-97288Średnie
Wtyczka OAuth Server w wersjach do 4.5.1 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.
- CVE-2026-19078Średnie
W komponencie oauth-server znaleziono podatność na otwarte przekierowanie. Parametr 'then' w handlerze zatwierdzania uprawnień nie jest odpowiednio walidowany, co pozwala zdalnemu atakującemu na stworzenie złośliwego URL-a, który po zatwierdzeniu lub odrzuceniu przez uwierzytelnionego użytkownika przekierowuje go na stronę kontrolowaną przez atakującego. Może to umożliwić ataki phishingowe i wyłudzenie wrażliwych informacji.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in the OAuth-server. OAuth-server logs the OAuth2 client secret when the logLevel is Debug higher for OIDC/GitHub/GitLab/Google IDPs login options.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS