CVE-2026-117656
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Akceptacja obcych niezaufanych danych z luką w zabezpieczeniach zaufanych danych w strategii Zaloguj się za pomocą Apple w zgodzie pow-auth umożliwia nieuwierzytelnionemu zdalnemu atakującemu podszywanie się pod innego użytkownika za pomocą parametru użytkownika wywołania zwrotnego autoryzacji.
Firma Apple wysyła nazwę użytkownika do punktu końcowego wywołania zwrotnego w parametrze formularza użytkownika przesyłanym przez przeglądarkę i kontrolowanym przez klienta. Assent.Strategy.Apple.callback/2 w lib/assent/strategies/apple.ex dekoduje ten parametr, a fetch_user/2 łączy go z oświadczeniami zweryfikowanego tokena identyfikacyjnego, więc niezweryfikowana mapa wygrywa. Osoba atakująca, która zaloguje się za pomocą konta Apple przy użyciu własnego identyfikatora Apple ID i edytuje parametr użytkownika, może zastąpić subskrypcję, adres e-mail i inne roszczenia. Aplikacje, które wyszukują, łączą lub autoryzują konta na podstawie zwróconego tematu lub wiadomości e-mail, następnie działają na podstawie wartości atakującego.
Ten problem dotyczy zgody: od 0.1.25 do 0.3.2.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-117656.html
- https://github.com/pow-auth/assent/commit/18898bde0296152165ae470078490e5798329b1b
- https://github.com/pow-auth/assent/commit/a2d331e8c51376d6c0b04a81aad31e0b4d4d64a3
- https://github.com/pow-auth/assent/security/advisories/GHSA-9fr5-g44g-9526
- https://osv.dev/vulnerability/EEF-CVE-2026-117656
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org