CVE-2026-55982

KrytyczneCVSS 9.1

Opublikowano: 13/08/2026(UTC)Zaktualizowano: 14/08/2026(UTC)Przetłumaczono: 13/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Endpoint userinfo w OIDC zwraca dane tożsamości bez egzekwowania zakresów tokenów API.

Atakujący z tokenem o ograniczonym zakresie może uzyskać pełne dane tożsamości użytkownika, naruszając prywatność.

Zainstaluj poprawkę i skonfiguruj endpoint userinfo tak, aby wymagał odpowiednich zakresów.

Oryginalny opis (angielski, źródło NVD)

OIDC userinfo Endpoint Returns Identity Claims Without Enforcing API Token Scopes