CVE-2026-67345

WysokieCVSS 8.1

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 30/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Podatność w MaxKey do wersji 4.1.12 (poprawiona w commicie ddbb72f) polega na niewystarczającej walidacji URI przekierowania w funkcji DefaultRedirectResolver.hostMatches(), umożliwiając zdalnym atakującym przechwycenie kodów autoryzacyjnych OAuth 2.0 poprzez podanie spreparowanego redirect_uri, którego sufiks nazwy hosta pasuje do zarejestrowanego URI bez odpowiedniego zakotwiczenia granicy kropki.

Ocena ryzyka

Atakujący kontrolujący domenę kończącą się na zarejestrowaną nazwę hosta URI przekierowania może socjotechnicznie nakłonić ofiarę do kliknięcia spreparowanego URL autoryzacyjnego, co skutkuje wydaniem kodu autoryzacyjnego na kontrolowane URI i uzyskaniem tokena dostępu do tożsamości ofiary.

Rekomendacja

Zaleca się aktualizację MaxKey do wersji zawierającej poprawkę (commit ddbb72f) oraz wdrożenie ścisłej walidacji redirect_uri z uwzględnieniem granic domen.

Inne podatności w MaxKey

CVE-2026-69102Krytyczne
MaxKey zawiera podatność nieautoryzowanego dostępu z powodu zakodowanego na stałe sekretu podpisywania JWT w application-maxkey.properties, co pozwala nieuwierzytelnionym atakującym na fałszowanie ważnych tokenów JWT i uwierzytelnianie się jako dowolny użytkownik poprzez wykorzystanie punktu końcowego logowania z pominięciem hasła. Atakujący mogą stworzyć token JWT podpisany publicznie znanym domyślnym sekretem, przesłać go do punktu końcowego /sign/login/jwt/trust i uzyskać w pełni uwierzytelnioną sesję administratora z dostępem do konfiguracji aplikacji SSO i sekretów aplikacji podrzędnych.

Oryginalny opis (angielski, źródło NVD)

MaxKey through 4.1.12, fixed in commit ddbb72f, contains an insufficient redirect URI validation vulnerability in DefaultRedirectResolver.hostMatches() that allows remote attackers to hijack OAuth 2.0 authorization codes by supplying a crafted redirect_uri whose hostname suffix matches a registered URI without proper dot-boundary anchoring. Attackers who control a domain ending with the registered redirect URI hostname can social-engineer victims into clicking a crafted authorization URL, causing the authorization code to be issued to the attacker-controlled URI and exchanged for an access token granting access to the victim's identity.