CVE-2026-13089
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Biblioteka OIDC::Lite dla Perla do wersji 0.12.1 pozwala na pominięcie weryfikacji podpisu tokena ID poprzez kontrolowaną przez token listę dozwolonych algorytmów. Gdy wywołujący nie przypisze algorytmu, funkcja verify ustawia algorytm z nagłówka tokena i przekazuje go do decode_jwt jako listę dozwolonych algorytmów. Token z alg=none zwraca claims bez sprawdzania podpisu, a token z alg=HS256 jest weryfikowany przy użyciu publicznego klucza RSA jako sekretu HMAC (pomylenie RS z HS).
Ocena ryzyka
Atakujący może sfałszować token ID i podszyć się pod dowolnego użytkownika, co prowadzi do nieautoryzowanego dostępu do systemów wykorzystujących OpenID Connect.
Rekomendacja
Zaktualizuj OIDC::Lite do najnowszej wersji z repozytorium git i zawsze jawnie określaj algorytm weryfikacji, aby zapobiec atakom opartym na manipulacji algorytmem.
Powiązane podatności
- CVE-2026-82688Krytyczne
W urządzeniach D-Link DNS-340L i DNS-345 (wersje 1.01B04/1.03B06/1.04.B02/1.05b04) wykryto podatność w pliku /cgi-bin/virtual_vol.cgi w komponencie Virtual Volume Handler. Manipulacja argumentami f_sharename/f_target/f_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-49003Krytyczne
Atakujący mogą wykorzystać podatności na wstrzyknięcie poleceń, aby usunąć krytyczne pliki systemowe, powodując awarię modułu monitorującego. Mogą również uzyskać uprawnienia roota, aby wykraść hasła konfiguracyjne (np. SNMP) i manipulować parametrami systemu, co prowadzi do nieprawidłowego działania całego systemu energetycznego.
- CVE-2026-82874Krytyczne
ToolJet przed wersją v3.16.208 nie weryfikuje, czy uwierzytelnieni użytkownicy należą do organizacji wskazanej w parametrze organizationId w endpointach tooljet-db. Pozwala to każdemu użytkownikowi z rolą Builder na odczyt, modyfikację i usuwanie tabel w innych organizacjach. Atakujący mogą wyciągnąć identyfikatory organizacji z publicznych endpointów aplikacji, a następnie wykorzystać endpointy operacji na schematach do ujawnienia schematów, tworzenia złośliwych tabel, uszkadzania schematów lub trwałego usuwania danych.
- CVE-2026-82872Krytyczne
ToolJet przed wersją v3.16.208 nie weryfikuje, czy parametr organizationId w ścieżce odpowiada obszarowi roboczemu uwierzytelnionego użytkownika przed wykonaniem operacji na tabelach ToolJet DB. Administrator obszaru roboczego może tworzyć, przeglądać i usuwać tabele w innym obszarze roboczym, podmieniając parametr organizationId w żądaniach API zarządzania tabelami.
- CVE-2026-82870Krytyczne
ToolJet przed wersją v3.16.208 nie weryfikuje własności organizationId w trasach zapisu i niszczenia bazy danych, co pozwala każdemu użytkownikowi z rolą builder na tworzenie, modyfikowanie lub usuwanie tabel w bazach danych innych organizacji. Atakujący mogą wykorzystać brak zabezpieczeń do trwałego usuwania tabel, wstawiania dowolnych danych i modyfikowania schematów w obrębie współdzielonych instancji.
- CVE-2026-82860Krytyczne
Biblioteka @hulumi/policies przed wersją 1.3.2 nie w pełni sprawdza dowody polityk IAM (wbudowanych i dołączonych) pod kątem zabezpieczenia administratora. Atakujący mogą tworzyć ścieżki polityk równoważne administratorowi, które omijają kontrolę oceny polityk.
- CVE-2026-82859Krytyczne
hulumi przed wersją v1.3.2 zawiera szablon SCP wdrożenia, który umożliwia obejście zabezpieczeń tag-on-create dla ochrony hulumi:iac-role. Atakujący mogą ominąć zamierzone ograniczenia granic IAM, wykorzystując osłabiony szablon SCP w późniejszych wdrożeniach.
- CVE-2026-82858Krytyczne
@hulumi/drift przed wersją 1.3.2 akceptuje zewnętrznie dostarczane plany wykonania bez wystarczającej weryfikacji pochodzenia, co pozwala traktować niezaufane dane wejściowe jako zaufane. Atakujący mogą dostarczyć złośliwe plany wykonania, które omijają zabezpieczenia i wykonują niebezpieczne operacje uzgadniania.
- CVE-2026-82857Krytyczne
Podatność w hulumi przed wersją 1.3.2 umożliwia eskalację uprawnień przez politykę IAM integracji tygodniowej, która pozwala na operacje na rolach af-e2e-* bez wystarczających ograniczeń granicznych. Atakujący z udokumentowanym podmiotem mogą tworzyć trwałe role o wyższych uprawnieniach w koncie sandbox.
- CVE-2026-82856Krytyczne
Podatność w @hulumi/policies przed wersją 1.3.2 polega na nieprawidłowej walidacji operatorów warunków IAM z kwalifikatorem set w politykach zaufania OIDC GitHub. Atakujący mogą użyć operatorów ForAnyValue:StringLike, aby ukryć warunki podmiotu OIDC z wildcardami przed zabezpieczeniami.
Oryginalny opis (angielski, źródło NVD)
OIDC::Lite versions through 0.12.1 for Perl allow ID Token signature verification bypass via a token-controlled algorithm allowlist in verify. When the caller does not pin an algorithm, OIDC::Lite::Model::IDToken::verify sets $self->alg($self->header->{alg}) from the token's own header and then calls decode_jwt(token, key, 1, [$self->alg]), handing JSON::WebToken an accepted-algorithm allowlist taken from the untrusted token. A token with alg=none yields ['none'], so decode_jwt returns the claims with no signature check, and a token with alg=HS256 is verified with the RP's RSA public key as the HMAC secret (RS to HS confusion). The ID Token is the OpenID Connect authentication assertion delivered to the Relying Party. Any caller that verifies an ID Token through the unpinned load(token)->verify path, or load(token, key) with only the key pinned, accepts a forged token carrying attacker-chosen claims such as sub and is authenticated as any user. Passing an explicit algorithm so $self->alg is already set bypasses the header-derived allowlist and is not affected. Note that the latest version uploaded to CPAN is 0.10. Later versions are available in the git repository.