CVE-2026-19078
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W komponencie oauth-server znaleziono podatność na otwarte przekierowanie. Parametr 'then' w handlerze zatwierdzania uprawnień nie jest odpowiednio walidowany, co pozwala zdalnemu atakującemu na stworzenie złośliwego URL-a, który po zatwierdzeniu lub odrzuceniu przez uwierzytelnionego użytkownika przekierowuje go na stronę kontrolowaną przez atakującego. Może to umożliwić ataki phishingowe i wyłudzenie wrażliwych informacji.
Ocena ryzyka
Organizacja narażona jest na ataki phishingowe, które mogą doprowadzić do ujawnienia poufnych danych przez uwierzytelnionych użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację komponentu oauth-server do wersji zawierającej poprawkę oraz wdrożenie walidacji parametru 'then' po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the oauth-server component. This open redirect vulnerability occurs when the 'then' parameter in the grant approval handler is not properly validated. A remote attacker can craft a malicious URL that, when approved or denied by an authenticated user, redirects them to an attacker-controlled website. This could enable phishing attacks, potentially tricking users into revealing sensitive information.