GHSA-364x-8g5j-x2pr
ŚrednieStreszczenie
Użytkownik z odpowiednimi uprawnieniami może stworzyć złośliwe poświadczenie OAuth2, zawierające adres URL JavaScript w polu URL autoryzacji. Po otwarciu poświadczenia przez ofiarę i interakcji z przyciskiem autoryzacji OAuth, wstrzyknięty skrypt zostanie wykonany.
Ocena ryzyka
Zagrożenie to może prowadzić do wykonania złośliwego kodu w kontekście ofiary, co może skutkować kradzieżą danych lub przejęciem konta. Organizacje powinny być świadome ryzyka związanego z nieautoryzowanym dostępem do danych użytkowników.
Rekomendacja
Zaleca się ograniczenie uprawnień użytkowników do tworzenia i udostępniania poświadczeń oraz wprowadzenie dodatkowych mechanizmów weryfikacji dla URL-i w polu autoryzacji.
Oryginalny opis (angielski, źródło NVD)
## Impact An authenticated user with permission to create and share credentials could craft a malicious OAuth2 credential containing a JavaScript URL in the Authorization URL field. If a victim opened the credential and interacted with the OAuth authorization button, the injected script would execut