CVE-2026-13089
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Biblioteka OIDC::Lite dla Perla do wersji 0.12.1 pozwala na pominięcie weryfikacji podpisu tokena ID poprzez kontrolowaną przez token listę dozwolonych algorytmów. Gdy wywołujący nie przypisze algorytmu, funkcja verify ustawia algorytm z nagłówka tokena i przekazuje go do decode_jwt jako listę dozwolonych algorytmów. Token z alg=none zwraca claims bez sprawdzania podpisu, a token z alg=HS256 jest weryfikowany przy użyciu publicznego klucza RSA jako sekretu HMAC (pomylenie RS z HS).
Ocena ryzyka
Atakujący może sfałszować token ID i podszyć się pod dowolnego użytkownika, co prowadzi do nieautoryzowanego dostępu do systemów wykorzystujących OpenID Connect.
Rekomendacja
Zaktualizuj OIDC::Lite do najnowszej wersji z repozytorium git i zawsze jawnie określaj algorytm weryfikacji, aby zapobiec atakom opartym na manipulacji algorytmem.
Powiązane podatności
- CVE-2026-118462Krytyczne
Komponenty aktualizacji pobierają i wykonują kod bez właściwej weryfikacji autentyczności, opierając się na ignorowanych haszach lub podrabialnych sumach kontrolnych. Niektóre ścieżki aktualizacji pozwalają również na traversal archiwum lub wykonanie skryptu.
- CVE-2026-115252Krytyczne
Wtyczka WordPress Confection Cable w wersjach 0.4.0–0.4.7 nie sprawdza uprawnień ani tokenów nonce przed zapisaniem ustawień, a jedną z wartości zapisuje bez modyfikacji do samodzielnego pliku PHP, który następnie udostępnia. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnego kodu PHP na serwerze.
- CVE-2026-124585Krytyczne
W urządzeniach VW2100 i VEC10GP firmy Chengdu Feiyuxing Technology wykryto podatność w interfejsie administracji webowej. Funkcja add_expmac w pliku var/html/webserver nieprawidłowo obsługuje argument mac, co prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123870Krytyczne
Aplikacja webowa otterdog ocenia format-string zbudowany z treści webhooka GitHub przy użyciu funkcji eval() w Pythonie. Gdy konfiguracja GITHUB_WEBHOOK_SECRET jest nieustawiona lub pusta (domyślnie None), weryfikacja podpisu HMAC jest całkowicie pomijana. Umożliwia to nieuwierzytelnionemu klientowi sieciowemu dotarcie do eval() z danymi kontrolowanymi przez atakującego i wykonanie dowolnego kodu Pythona na hoście.
- CVE-2026-124580Krytyczne
W urządzeniu Chengdu Feiyuxing Technology VW2100 i VEC10GP (wersja 1.0 B-MB3W202-210825-r11775) wykryto podatność w funkcji handle_wechat_cn_wifi w pliku var/html/webserver, w komponencie Weixin Auth Endpoint. Manipulacja argumentem extend prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-124577Krytyczne
W urządzeniu Intelbras SG 2404 PoE L2+ w wersjach 1.00.70 i 1.00.72 wykryto słabość w nieznanej funkcji pliku /EXCU_SHELL w komponencie Web Management Interface. Manipulacja może prowadzić do nieprawidłowego uwierzytelniania. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-113364Krytyczne
Przepełnienie bufora w procesie odbierania danych w NEC WebSAM WinShare w wersjach 7.5.0 i wcześniejszych, 7.6.0 oraz 7.7.0–7.7.2 na Windows pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami SYSTEM poprzez spreparowany pakiet z nieprawidłową wartością rozmiaru danych w nagłówku protokołu.
- CVE-2026-113363Krytyczne
Nieprawidłowa walidacja danych wejściowych w przetwarzaniu komunikacji sieciowej w NEC WebSAM WinShare w wersjach 7.2.0–7.5.0, 7.6.0 oraz 7.7.0–7.7.2 na Windows pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń z uprawnieniami SYSTEM poprzez spreparowany pakiet sieciowy wysłany do komputera z uruchomionym WinShare.
- CVE-2026-124560Krytyczne
W urządzeniu D-Link DIR-878 w wersji 1.20B05 wykryto podatność w funkcji GetCAPTCHAsetting w pliku bin/prog.cgi (komponent HNAP Handler). Manipulacja argumentem uid prowadzi do przepełnienia bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-119506Krytyczne
Wtyczka Frontend Admin by DynamiApps (acf-frontend-form-element) do wersji 3.30.1 zawiera błąd nieprawidłowego przypisania uprawnień. Luka umożliwia atakującemu eskalację uprawnień w obrębie witryny WordPress.
Oryginalny opis (angielski, źródło NVD)
OIDC::Lite versions through 0.12.1 for Perl allow ID Token signature verification bypass via a token-controlled algorithm allowlist in verify. When the caller does not pin an algorithm, OIDC::Lite::Model::IDToken::verify sets $self->alg($self->header->{alg}) from the token's own header and then calls decode_jwt(token, key, 1, [$self->alg]), handing JSON::WebToken an accepted-algorithm allowlist taken from the untrusted token. A token with alg=none yields ['none'], so decode_jwt returns the claims with no signature check, and a token with alg=HS256 is verified with the RP's RSA public key as the HMAC secret (RS to HS confusion). The ID Token is the OpenID Connect authentication assertion delivered to the Relying Party. Any caller that verifies an ID Token through the unpinned load(token)->verify path, or load(token, key) with only the key pinned, accepts a forged token carrying attacker-chosen claims such as sub and is authenticated as any user. Passing an explicit algorithm so $self->alg is already set bypasses the header-derived allowlist and is not affected. Note that the latest version uploaded to CPAN is 0.10. Later versions are available in the git repository.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS