CVE-2026-82462

ŚrednieCVSS 6.5

Opublikowano: 29/08/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Streszczenie

pac4j-oidc przed wersją 6.5.6 akceptuje wywołania zwrotne OIDC zawierające tylko token dostępu, bez walidacji kodu autoryzacyjnego lub tokena ID. Atakujący mogą podstawić tokeny dostępu wygenerowane dla innych klientów, aby utworzyć uwierzytelnione sesje bez odpowiedniej weryfikacji wydawcy, odbiorcy, nonce lub podmiotu.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego uwierzytelnienia sesji przez atakującego, co może prowadzić do przejęcia kont lub dostępu do chronionych zasobów.

Rekomendacja

Zaleca się aktualizację pac4j-oidc do wersji 6.5.6 lub nowszej, która wymaga pełnej walidacji tokenów.

Inne podatności w pac4j-oidc

CVE-2026-82461Wysokie
pac4j-oidc przed wersją 6.5.6 nie weryfikuje podpisów tokenów dostępu, wystawców, odbiorców ani wygaśnięcia podczas wyodrębniania ról realm i klientów Keycloak. Atakujący mogą sfałszować tokeny dostępu z rolami administracyjnymi w połączeniu z ważnymi tokenami ID, aby ominąć kontrole autoryzacji w aplikacjach polegających na walidacji ról pac4j.

Oryginalny opis (angielski, źródło NVD)

pac4j-oidc before 6.5.6 accepts OIDC callbacks carrying only an access token without authorization code or ID token validation. Attackers can substitute access tokens minted for other clients to create authenticated sessions without proper issuer, audience, nonce, or subject verification.