CVE-2026-19078
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W komponencie oauth-server znaleziono podatność na otwarte przekierowanie. Parametr 'then' w handlerze zatwierdzania uprawnień nie jest odpowiednio walidowany, co pozwala zdalnemu atakującemu na stworzenie złośliwego URL-a, który po zatwierdzeniu lub odrzuceniu przez uwierzytelnionego użytkownika przekierowuje go na stronę kontrolowaną przez atakującego. Może to umożliwić ataki phishingowe i wyłudzenie wrażliwych informacji.
Ocena ryzyka
Organizacja narażona jest na ataki phishingowe, które mogą doprowadzić do ujawnienia poufnych danych przez uwierzytelnionych użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację komponentu oauth-server do wersji zawierającej poprawkę oraz wdrożenie walidacji parametru 'then' po stronie serwera.
Inne podatności w oauth-server
Zobacz wszystkie- CVE-2026-97288Średnie
Wtyczka OAuth Server w wersjach do 4.5.1 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.
- CVE-2024-11217Średnie
Podatność w serwerze OAuth powoduje logowanie sekretów klienta OAuth2 na poziomie debugowania lub wyższym dla opcji logowania OIDC/GitHub/GitLab/Google.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the oauth-server component. This open redirect vulnerability occurs when the 'then' parameter in the grant approval handler is not properly validated. A remote attacker can craft a malicious URL that, when approved or denied by an authenticated user, redirects them to an attacker-controlled website. This could enable phishing attacks, potentially tricking users into revealing sensitive information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS