CVE-2026-18918
KrytyczneCVSS 9.1Streszczenie
W Eclipse Lyo w wersjach od 2.0.0 do 7.0.0, kontrola autoryzacji serwera OAuth może zostać ominięta, gdy serwer obsługuje uwierzytelnianie 2-legged. W takich przypadkach aplikacje oparte na filtrach autoryzacji dostarczanych przez Lyo (AbstractAdapterCredentialsFilter) są podatne. Atakujący może utworzyć tymczasowo zaufanego klienta (prawidłowy przypadek użycia), ale może być on użyty jako zaufany klient natychmiast, bez wymaganej zgody administratora na usunięcie statusu tymczasowego. Ścieżka 3-legged wymagająca interakcji użytkownika nie jest podatna i odrzuca tymczasowych klientów.
Ocena ryzyka
Atakujący może ominąć kontrolę autoryzacji i uzyskać nieautoryzowany dostęp do zasobów chronionych przez OAuth, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj Eclipse Lyo do wersji nowszej niż 7.0.0 i upewnij się, że tymczasowi klienci wymagają zatwierdzenia przez administratora.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Lyo versions 2.0.0 to 7.0.0, OAuth server authorization checks can be bypassed when the 2-legged auth is supported by the server. In those cases, application that based their authz filters upon Lyo-provided `AbstractAdapterCredentialsFilter`, are vulnerable. An attacked can create a provisional trusted client (valid use-case) but then it can be used as a trusted client immediately without requiring the administrator approval to clear the provisional status. The 3-legged path requiring user interaction is not vulnerable and rejects provisional clients.