CVE-2026-102460

W wersjach Eclipse Vert.x [4.0.0, 4.5.34] lub [5.0.0,5.0.12], [5.1.0,5.1.9] lub [5.2.0, 5.2.0] w narzędziu ChainAuthHandler programu Eclipse Vert.x Web istnieje luka umożliwiająca obejście zakresu, gdy jest ona używana z procedurami obsługi uwierzytelniania wymagającymi zakresu, takimi jak JWTAuthHandler lub OAuth2AuthHandler. Gdy użytkownik został już uwierzytelniony w kontekście routingu przez poprzednią procedurę obsługi w potoku żądania, ChainAuthHandler pomija całą weryfikację zakresu skonfigurowaną za pomocą withScope() lub withScopes(). Dotyczy to zarówno trybów łańcucha any(), jak i all().



Główną przyczyną jest to, że funkcja postAuthentication() opiera się na stanie wewnętrznym, który jest ustawiany tylko podczas fazy uwierzytelniania(), która jest całkowicie pomijana w przypadku wstępnie uwierzytelnionych użytkowników. W trybie any() brak tego stanu powoduje, że metoda nie działa bez delegowania kontroli zakresu do jakiejkolwiek procedury obsługi. W trybie all() sprawdzanie zakresu jest bezwarunkowo pomijane.



Dzięki temu użytkownik z prawidłowym tokenem, ale niewystarczającymi zakresami, może uzyskać dostęp do zasobów chronionych przez wymagania dotyczące zakresu, pod warunkiem, że zostały one uwierzytelnione przez wcześniejszą procedurę obsługi w potoku. Najczęstszym wyzwalaczem są nakładające się procedury obsługi uwierzytelniania na trasach zagnieżdżonych, gdzie trasa nadrzędna uwierzytelnia się szeroko, a trasa podrzędna używa łańcucha do wymuszania określonych zakresów.



Współrzędna Mavena komponentu, którego to dotyczy, to io.vertx:vertx-web