CVE-2026-82461

WysokieCVSS 8.1

Opublikowano: 29/08/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Streszczenie

pac4j-oidc przed wersją 6.5.6 nie weryfikuje podpisów tokenów dostępu, wystawców, odbiorców ani wygaśnięcia podczas wyodrębniania ról realm i klientów Keycloak. Atakujący mogą sfałszować tokeny dostępu z rolami administracyjnymi w połączeniu z ważnymi tokenami ID, aby ominąć kontrole autoryzacji w aplikacjach polegających na walidacji ról pac4j.

Ocena ryzyka

Ryzyko obejmuje możliwość eskalacji uprawnień i nieautoryzowanego dostępu do zasobów administracyjnych, co może prowadzić do pełnej kompromitacji aplikacji.

Rekomendacja

Zaleca się zaktualizowanie pac4j-oidc do wersji 6.5.6 lub nowszej, która poprawnie weryfikuje tokeny dostępu, oraz wdrożenie dodatkowych kontroli bezpieczeństwa dla ról.

Inne podatności w pac4j-oidc

CVE-2026-82462Średnie
pac4j-oidc przed wersją 6.5.6 akceptuje wywołania zwrotne OIDC zawierające tylko token dostępu, bez walidacji kodu autoryzacyjnego lub tokena ID. Atakujący mogą podstawić tokeny dostępu wygenerowane dla innych klientów, aby utworzyć uwierzytelnione sesje bez odpowiedniej weryfikacji wydawcy, odbiorcy, nonce lub podmiotu.

Oryginalny opis (angielski, źródło NVD)

pac4j-oidc before 6.5.6 fails to verify access token signatures, issuers, audiences, or expiry when extracting Keycloak realm and client roles. Attackers can forge access tokens with administrative roles paired with valid ID tokens to bypass authorization checks in applications relying on pac4j role validation.