CVE-2026-50631
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W AbstractOAuthDataProvider występuje warunek wyścigu, który pozwala na równoczesne żądania z użyciem tego samego Refresh Token, co umożliwia generowanie wielu ważnych Access Tokenów, gdy 'recycleRefreshTokens' jest ustawione na false.
Ocena ryzyka
Umożliwia to atakującym lub wątkom równoczesne odtwarzanie skradzionego refresh tokena, co może prowadzić do nieautoryzowanego dostępu do zasobów.
Rekomendacja
Zaleca się aktualizację do wersji 4.2.2 lub 4.1.7, które naprawiają ten problem.
Oryginalny opis (angielski, źródło NVD)
A race condition in AbstractOAuthDataProvider allows concurrent requests using the same Refresh Token to bypass single-use semantics and generate multiple valid Access Tokens, when 'recycleRefreshTokens' is set to false. A leaked refresh token can be replayed concurrently by multiple attackers or threads. Users are recommended to upgrade to versions 4.2.2 or 4.1.7, which fixes this issue.