CVE-2026-62662

Pocket ID istifadəçilərə passkey-ləri vasitəsilə xidmətlərdə autentifikasiya olmağa imkan verən bir OIDC provayderidir. 1.11.0 versiyasından 2.10.0 versiyasına qədər, backend/internal/service/oidc_service.go faylındakı createTokenFromClientCredentials funksiyası klient tərəfindən idarə olunan resource parametrini qəbul edir və auditoriyanın qeydiyyatdan keçib-keçmədiyini və ya sorğu göndərən klientin ona giriş hüququnun olub-olmadığını yoxlamadan onu birbaşa access token-in aud iddiasına daxil edir. Buna görə də hər hansı autentifikasiya olunmuş OIDC klienti digər klienti və ya ixtiyari auditoriyanı adlandıran Pocket ID imzalı token əldə edə bilər. /api/oidc/introspect son nöqtəsi (endpoint) bu icazəsiz tokeni ayıra bilmir, çünki introspeksiya aparan klientin identifikatoru hücum edən şəxs tərəfindən seçilmiş auditoriya ilə uyğunlaşdıqda tokeni aktiv kimi qəbul edir. Resurs serverlərinin servisdən-servisə avtorizasiya üçün Pocket ID access tokenlərinə güvəndiyi tətbiqlərdə, bu hal auditoriya əsaslı giriş nəzarətini yan keçir və icazəsiz məlumatlara girişə və ya hərəkətlərə yol aça bilər; resurs server avtorizasiyası üçün bu tokenlərdən istifadə etməyən tətbiqlərdə isə dərhal istismar edilə bilən təsir yoxdur. Bu problem 2.10.0 versiyasında düzəldilib.