CVE-2026-49998
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W Centrifugo przed wersją 6.8.1, weryfikacja dynamicznego punktu końcowego JWKS mogła ponownie użyć klucza dla jednego dozwolonego wystawcy do weryfikacji JWT dla innego dozwolonego wystawcy. Problem wynikał z tego, że pamięć podręczna JWKS i wyszukiwanie singleflight były kluczowane wyłącznie przez nagłówek JWT kid, a nie przez rozpoznany punkt końcowy JWKS, wystawcę, odbiorcę lub przestrzeń nazw domeny zaufania.
Ocena ryzyka
Organizacja naraża się na ryzyko, że token JWT wystawiony przez jednego zaufanego wystawcę może zostać użyty do uzyskania dostępu do zasobów przeznaczonych dla innego wystawcy, co może prowadzić do nieautoryzowanego dostępu do danych lub funkcji.
Rekomendacja
Należy niezwłocznie zaktualizować Centrifugo do wersji 6.8.1 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w Centrifugo
Zobacz wszystkie- CVE-2026-71485Krytyczne
Centrifugo przed wersją 6.9.0 pozwala zdalnemu klientowi na sfałszowanie nagłówków, takich jak x-trusted-user, w wywołaniach proxy connect, refresh, subscribe, publish, RPC i pokrewnych, gdy backend polega na tym nagłówku do uwierzytelniania lub autoryzacji. Podatność wynika z kopiowania nagłówków kontrolowanych przez klienta do kontekstu połączenia i przekazywania ich jako zaufanych nagłówków backendu.
- CVE-2026-62963Wysokie
W Centrifugo przed wersją 6.8.4, w transporcie WebSocket jednokierunkowym z włączoną kompresją, ograniczenie rozmiaru wiadomości było stosowane przed dekompresją, a po dekompresji nie było limitu wyjściowego. Umożliwiało to nieuwierzytelnionym żądaniom do /connection/uni_websocket wywołanie dużego zużycia pamięci i CPU.
Oryginalny opis (angielski, źródło NVD)
Centrifugo is an open-source scalable real-time messaging server. Prior to 6.8.1, Centrifugo dynamic JWKS endpoint verification could reuse a key for one allowed issuer to verify a JWT for another allowed issuer because the JWKS cache and singleflight lookup were keyed only by JWT header kid, not by the resolved JWKS endpoint, issuer, audience, or trust-domain namespace, affecting client.token.jwks_public_endpoint, client.subscription_token.jwks_public_endpoint, internal/jwks/cache.go, and internal/jwks/manager.go. This issue is fixed in version 6.8.1.