CVE-2026-72887
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Net::OAuth::Client przed wersją 0.32 dla Perla pozwala dostawcy usług na ciche obniżenie OAuth 1.0a do OAuth 1.0 w get_request_token. Przekazanie callbacku do konstruktora wybiera OAuth 1.0a. get_request_token następnie odwołuje ten wybór, gdy odpowiedź na żądanie tokena nie zawiera oauth_callback_confirmed, bez wyjątku, ostrzeżenia ani opcji wymagania 1.0a. Żądanie tokena dostępu jest budowane z klasy wiadomości OAuth 1.0, która nie ma parametru verifier, więc oauth_verifier jest usuwany z żądania, nawet jeśli get_access_token otrzymał go. oauth_verifier jest powiązaniem, które OAuth 1.0a dodało między krokiem autoryzacji a wymianą tokenów. Aplikacja, która zażądała 1.0a i otrzymała 1.0, jest otwarta na fiksację sesji OAuth 1.0, gdzie atakujący uzyskuje token żądania, nakłania ofiarę do autoryzacji, a następnie sam kończy wymianę, łącząc konto ofiary u dostawcy z sesją kontrolowaną przez atakującego. Żadne działanie atakującego nie przygotowuje obniżenia: wystarczy dostawca, który nie potwierdza callbacku.
Ocena ryzyka
Ryzyko obejmuje możliwość przejęcia sesji użytkownika i nieautoryzowanego dostępu do konta ofiary u dostawcy usług. Atakujący może wykorzystać fiksację sesji do przejęcia kontroli nad sesją uwierzytelnioną.
Rekomendacja
Zaleca się aktualizację Net::OAuth::Client do wersji 0.32 lub nowszej, która zawiera poprawkę wymuszającą OAuth 1.0a. Należy również skonfigurować aplikację tak, aby wymagała potwierdzenia callbacku i odrzucała odpowiedzi bez oauth_callback_confirmed.
Powiązane podatności
- CVE-2026-91135Krytyczne
Podatność przepełnienia bufora na stercie w Apache Thrift C++ THeaderTransport. Gdy aplikacja włącza transformację ZLIB dla wysyłanych ramek, funkcja THeaderTransport::transform() kopiuje skompresowaną ramkę do bufora zapisu bez sprawdzenia, czy się w nim zmieści. Dane, które się nie kompresują, takie jak treść dostarczona przez zdalnego użytkownika, rosną podczas kompresji, więc kopia zapisuje poza koniec bufora sterty, a dla dużych ramek czyta również poza koniec bufora transformacji.
- CVE-2026-86325Krytyczne
Podatność przepełnienia bufora na stosie w interfejsie zarządzania kontami bram protokołów. Wynika z niewystarczającej walidacji długości parametru `account_name` podczas przetwarzania żądań zarządzania kontami. Atakujący uwierzytelniony jako użytkownik tylko do odczytu w interfejsie zarządzania WWW może dostarczyć specjalnie spreparowaną nazwę konta przekraczającą rozmiar wewnętrznego bufora stosu, co prowadzi do uszkodzenia przepływu wykonywania programu.
- CVE-2026-94541Krytyczne
Podatność obejścia autoryzacji we wtyczce WPMobile.App – Android and iOS App Builder dla WordPressa we wszystkich wersjach do 11.82 włącznie. Wtyczka nie weryfikuje poprawnie, czy użytkownik jest upoważniony do wykonania akcji. Umożliwia to nieuwierzytelnionym atakującym eksfiltrację URL-i resetowania hasła dla dowolnych użytkowników, w tym administratorów, które są lustrowane do kolejki push przez funkcję mail-to-push, i wykorzystanie tych URL-i do przejęcia kont.
- CVE-2026-97637Krytyczne
Podatność obejścia uwierzytelniania we wtyczce JSON API Auth dla WordPressa we wszystkich wersjach do 3.1.2 włącznie. Wtyczka nadrzędna PI-Media/json-api buforuje wyniki dyspozytora kontrolera w transientach kluczowanych wyłącznie URI i stringiem zapytania, ignorując metodę HTTP i treść POST. Powoduje to, że endpoint `generate_auth_cookie()` serwuje zbuforowaną odpowiedź uwierzytelnioną każdemu kolejnemu nieuwierzytelnionemu żądaniu GET do tego samego URI.
- CVE-2026-93698Krytyczne
Niewystarczająca walidacja umożliwia wykonywanie dowolnych poleceń za pośrednictwem narzędzia administracyjnego Multilang.
- CVE-2026-93697Krytyczne
Podatność XSS (przechowywany) umożliwiająca wykonywanie dowolnego kodu w interfejsie WHM Mass Modify Accounts.
- CVE-2026-93029Krytyczne
Podatność XSS (przechowywany) umożliwiająca wykonywanie dowolnego kodu w interfejsie WHM Manage SSL Hosts.
- CVE-2026-63569Krytyczne
Niewłaściwa walidacja danych wejściowych w DHAgreement.CalculateAgreement (MTI/A0 dwuprzebiegowy Diffie-Hellman) w Legion of the Bouncy Castle Inc. bc-csharp przed 2.7.0. Pozwala atakującemu w ścieżce sieciowej sprawić, że lokalna strona obliczy uzgodnioną wartość, którą atakujący już zna, co niweczy uwierzytelnianie klucza, które MTI/A0 ma zapewniać. Umożliwia również złośliwemu peerowi poznanie lokalnego statycznego klucza prywatnego modulo małe czynniki p-1 i odzyskanie go w grupach z wieloma takimi czynnikami.
- CVE-2026-15896Krytyczne
Podatność Directory Traversal we wtyczce Super Forms – Drag & Drop Form Builder dla WordPressa we wszystkich wersjach do 6.3.316 włącznie, przez funkcję parse_request. Umożliwia nieuwierzytelnionym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Opcjonalne ustawienie 'file_upload_auth' domyślnie jest puste, co oznacza brak wymaganego uwierzytelnienia w domyślnej konfiguracji.
- CVE-2026-19660Krytyczne
Wtyczka Divi Membership dla WordPressa do wersji 2.3.0 włącznie ma podatność na pominięcie uwierzytelniania. Funkcja process_paypal_callback akceptuje zakodowany base64 parametr paypal_param bez walidacji IPN, podpisu kryptograficznego, weryfikacji własności ani nonce, co pozwala na zalogowanie się jako dowolny użytkownik, w tym administrator.
Oryginalny opis (angielski, źródło NVD)
Net::OAuth::Client versions before 0.32 for Perl allow the service provider to silently downgrade OAuth 1.0a to OAuth 1.0 in get_request_token. Passing a callback to the constructor selects OAuth 1.0a. get_request_token then revokes that choice when the request token response omits oauth_callback_confirmed, with no exception, no warning and no option to require 1.0a. The access token request is built from the OAuth 1.0 message class, which has no verifier parameter, so oauth_verifier is dropped from the request even when get_access_token was passed one. oauth_verifier is the binding that OAuth 1.0a added between the authorization step and the token exchange. An application that asked for 1.0a and gets 1.0 is open to OAuth 1.0 session fixation, where an attacker obtains a request token, has the victim authorize it, and then completes the exchange themselves, linking the victim's provider account to a session the attacker controls. No attacker action sets up the downgrade: a provider that does not confirm the callback is enough.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS