Katalog CVE
CVE-2026-23922
NiskieCVSS 2.1Streszczenie
Pole OAuth 'Client secret' w mediach e-mail nie może być odczytane po zapisaniu, ale Super Admin może je ujawnić, ustawiając złośliwy 'Token endpoint'. Wprowadzono zmiany resetujące client secret przy zmianie token endpoint.
Ocena ryzyka
Super Admin może wyciec poufne dane uwierzytelniające, co może prowadzić do nieautoryzowanego dostępu do kont e-mail.
Rekomendacja
Zaleca się aktualizację systemu do wersji zawierającej poprawkę resetującą client secret przy zmianie token endpoint oraz ograniczenie uprawnień Super Admin.
Oryginalny opis (angielski, źródło NVD)
The email media OAuth field 'Client secret' cannot be read after saving, but a Super Admin can leak it by setting a malicious 'Token endpoint'. Changes were made to reset the client secret upon changing the token endpoint.