Katalog CVE
CVE-2026-15612
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzyko0.13%
Percentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Logto pomija walidację nonce OIDC, gdy roszczenie nonce jest nieobecne w id_token, co umożliwia odtwarzanie tokenów uwierzytelniających i osłabia wiązanie sesji.
Ocena ryzyka
Ryzyko polega na możliwości odtworzenia tokenów uwierzytelniających i uzyskania nieautoryzowanego dostępu do sesji.
Rekomendacja
Zaleca się aktualizację Logto do wersji, która wymusza walidację nonce nawet w przypadku jego braku w id_token.
Oryginalny opis (angielski, źródło NVD)
Logto bypasses OIDC nonce validation when the nonce claim is absent from the id_token, enabling replay of authentication tokens and weakening session-binding.