CVE-2026-44476
ŚrednieStreszczenie
Podatność w akcji `register` kontrolera `DynamicClientRegistrationController` polega na tym, że aplikacje są domyślnie rejestrowane jako poufne (`confidential: false`), mimo że odpowiedź zawiera `client_secret` i obsługuje metodę uwierzytelniania `client_secret_basic`. Powoduje to niespójność między deklarowanym typem aplikacji a faktycznie udostępnianymi danymi uwierzytelniającymi.
Ocena ryzyka
Ryzyko polega na tym, że aplikacja zarejestrowana jako niepoufna (publiczna) otrzymuje sekret klienta, co może prowadzić do błędnej konfiguracji i potencjalnego wycieku danych uwierzytelniających, jeśli administratorzy lub deweloperzy nie zdają sobie sprawy z tej niespójności.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania do wersji, w której poprawiono tę niespójność, lub ręczne skonfigurowanie rejestracji klientów dynamicznych tak, aby typ poufności był zgodny z faktycznie udostępnianymi danymi uwierzytelniającymi.
Oryginalny opis (angielski, źródło NVD)
### Impact The `DynamicClientRegistrationController#register` action hard-codes `confidential: false` when creating applications (dynamic_client_registration_controller.rb:18-25), yet the response includes a client_secret and advertises `token_endpoint_auth_methods_supported: ["client_secret_basic"