CVE-2026-101271
NiskieCVSS 2.1Streszczenie
Poświadczenia OAuth (tokeny dostępu) pozostają ważne przez cały okres ich życia, nawet jeśli aplikacja (klient OAuth), do której są przypisane, zostanie ręcznie wyłączona.
Ocena ryzyka
Wyłączenie aplikacji OAuth nie unieważnia tokenów, co może pozwolić na nieautoryzowany dostęp do zasobów nawet po dezaktywacji aplikacji, zwiększając ryzyko naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się wdrożenie mechanizmu unieważniania tokenów przy wyłączaniu aplikacji OAuth oraz regularne audyty ważności tokenów.
Inne podatności w OAuth
Zobacz wszystkie- CVE-2026-58422Krytyczne
Podatność w mechanizmie wywołania zwrotnego logowania OAuth powoduje, że konta użytkowników wyłączone przez administratora są po cichu ponownie aktywowane. Brak odpowiedniej autoryzacji umożliwia ominięcie decyzji administracyjnych dotyczących blokady kont.
- CVE-2026-54605Wysokie
Podatność w bibliotece OAuth dla języka Ruby umożliwia atakującemu przechwycenie nagłówka Authorization podczas przekierowania. Klient OAuth::Consumer podąża za przekierowaniem z kodem 3xx, co może zmutować konfigurację i ujawnić poufne dane.
- CVE-2026-13707Wysokie
Podatność polegająca na utrwalaniu sesji (session fixation) w rozszerzeniu OAuth Wikimedia Foundation. Umożliwia atakującemu narzucenie własnego identyfikatora sesji ofierze, co może prowadzić do przejęcia sesji uwierzytelniającej.
Oryginalny opis (angielski, źródło NVD)
OAuth credentials (access tokens) are valid for the entirety of their lifetime, even if the application (OAuth client) they are bound to is manually disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS