CVE-2026-13707
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podatność polegająca na utrwalaniu sesji (session fixation) w rozszerzeniu OAuth Wikimedia Foundation. Umożliwia atakującemu narzucenie własnego identyfikatora sesji ofierze, co może prowadzić do przejęcia sesji uwierzytelniającej.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości nieautoryzowanego dostępu do kont użytkowników OAuth, co może skutkować kradzieżą danych lub wykonaniem operacji w imieniu ofiary.
Rekomendacja
Zaleca się natychmiastową aktualizację rozszerzenia OAuth do wersji 1.46.1 lub nowszej, a także wdrożenie mechanizmów regeneracji identyfikatora sesji po zalogowaniu.
Inne podatności w OAuth
Zobacz wszystkie- CVE-2026-58422Krytyczne
Podatność w mechanizmie wywołania zwrotnego logowania OAuth powoduje, że konta użytkowników wyłączone przez administratora są po cichu ponownie aktywowane. Brak odpowiedniej autoryzacji umożliwia ominięcie decyzji administracyjnych dotyczących blokady kont.
- CVE-2026-54605Wysokie
Podatność w bibliotece OAuth dla języka Ruby umożliwia atakującemu przechwycenie nagłówka Authorization podczas przekierowania. Klient OAuth::Consumer podąża za przekierowaniem z kodem 3xx, co może zmutować konfigurację i ujawnić poufne dane.
Oryginalny opis (angielski, źródło NVD)
Session fixation vulnerability in Wikimedia Foundation OAuth. This vulnerability is associated with program files src/Backend/MWOAuthServer.Php. This issue affects OAuth: from * through 1.46.0, 1.45.4, 1.44.6, 1.43.9.