CVE-2026-110008

ŚrednieCVSS 4.2

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

@fastify/oauth2 to wrapper Fastify dla przepływów logowania OAuth2. W wersjach od 7.2.0 do 8.3.1 ciasteczka state i code-verifier są ustawiane bez atrybutu Path w trasie logowania z dwoma lub więcej segmentami ścieżki, podczas gdy krok czyszczenia w callbacku OAuth zapisuje je ze ścieżką główną, więc oryginalne ciasteczka przetrwają callback i udokumentowana gwarancja jednorazowego użycia wartości state nie jest spełniona. Wartość state, którą atakujący pozna, pozostaje ważna przez resztę sesji przeglądarki, pozwalając atakującemu na przeprowadzenie własnego przepływu autoryzacji w przeglądarce ofiary i zalogowanie ofiary na konto atakującego (login CSRF). Problem został naprawiony w @fastify/oauth2 8.3.2, a użytkownicy powinni zaktualizować do wersji 8.3.2 lub nowszej. Jako obejście, ustaw jawną ścieżkę ciasteczka, aby ustawienie i czyszczenie wskazywały to samo ciasteczko.

Ocena ryzyka

Atakujący może zalogować ofiarę na swoje konto, co może prowadzić do nieautoryzowanych działań w imieniu ofiary lub wycieku danych. Ryzyko dotyczy aplikacji używających @fastify/oauth2 w podatnych wersjach.

Rekomendacja

Zaktualizuj @fastify/oauth2 do wersji 8.3.2 lub nowszej. Jeśli aktualizacja nie jest możliwa, ustaw jawną ścieżkę ciasteczka dla state i code-verifier, aby ustawienie i czyszczenie dotyczyły tego samego ciasteczka.

Inne podatności w @fastify/oauth2

CVE-2026-18165Średnie
Wtyczka @fastify/oauth2 dla Fastify w wersjach od 7.2.0 do 8.3.0 (wyłącznie) nieprawidłowo waliduje stan OAuth i weryfikator PKCE, porównując parametry zapytania z nieprefiksowanym, przewidywalnym ciasteczkiem, bez powiązania z przeglądarką. Atakujący może ustawić ciasteczka i przeprowadzić atak login CSRF, logując ofiarę na konto atakującego. Poprawka w wersji 8.3.0 dodaje opcję hostPrefixedCookies.

Oryginalny opis (angielski, źródło NVD)

@fastify/oauth2 is a Fastify wrapper for OAuth2 login flows. In versions 7.2.0 through 8.3.1, the state and code-verifier cookies are set without a Path attribute at a login route with two or more path segments, while the clearing step at the OAuth callback writes them with a root path, so the original cookies survive the callback and the documented single-use guarantee for the state value does not hold. A state value an attacker learns stays valid for the rest of the browser session, letting the attacker drive their own authorization flow in the victim's browser and sign the victim in to the attacker's account (login CSRF). The issue is fixed in @fastify/oauth2 8.3.2, and users should upgrade to 8.3.2 or later. As a workaround, set an explicit cookie path so the set and the clear name the same cookie.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS