CVE-2026-42560
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Biblioteka auth (wersje 1.18.0 do 1.25.2 oraz 2.0.0 do 2.1.2) błędnie mapuje wszystkich uwierzytelnionych użytkowników Patreon na to samo lokalne ID. Powoduje to scalenie tożsamości, co może prowadzić do nieautoryzowanego dostępu i wycieku danych subskrypcji.
Ocena ryzyka
Ryzyko pomieszania kont użytkowników, eskalacji uprawnień i ujawnienia danych subskrypcyjnych.
Rekomendacja
Zaktualizuj bibliotekę auth do wersji 1.25.2 lub 2.1.2. Sprawdź, czy aplikacja nie polega na token.User.ID jako stabilnym kluczu konta.
Oryginalny opis (angielski, źródło NVD)
auth provides authentication via oauth2, direct and email. From versions 1.18.0 to before 1.25.2 and 2.0.0 to before 2.1.2, the Patreon OAuth provider maps every authenticated Patreon account to the same local user.ID, instead of deriving a unique ID from the Patreon account returned by Patreon. In practice, this means all Patreon-authenticated users of an application using this library are collapsed into a single local identity. Any application that trusts token.User.ID as the stable account key can end up mixing or fully merging unrelated Patreon users, which can lead to cross-account access, privilege confusion, and subscription-state leakage. This issue has been patched in versions 1.25.2 and 2.1.2.