CVE-2026-63203

Logto, SaaS və AI tətbiqləri üçün müasir, açıq mənbəli autentifikasiya infrastrukturudur. 1.31.0 versiyasından 1.42.0 versiyasına qədər, packages/core/src/routes/account/third-party-tokens.ts faylındakı Account API handler-ləri, yalnız openid scope-na malik eyni istifadəçi giriş tokenini saxlayan çağırana GET /api/my-account/identities/{target}/access-token və ya GET /api/my-account/sso-identities/{connectorId}/access-token vasitəsilə saxlanılan sosial və ya korporativ SSO provayderlərinin giriş tokenlərini əldə etməyə imkan verir. Handler-lər istifadəçini autentifikasiya edir, lakin qonşu kimlik detalları əməliyyatlarını qoruyan identities scope-nu tələb etmir və beləliklə, nəzərdə tutulmuş Account API razılıq sərhədindən yan keçir. Bu boşluğun istismarı üçün federasiya edilmiş token dəsti saxlama funksiyasının aktiv olması və təsirlənmiş istifadəçinin dəstəklənən konnektor vasitəsilə autentifikasiyadan keçmiş olması tələb olunur. Aşağı etibarlı bir tətbiq, ifşa olunmuş provayder tokenini həmin tokenin verilmiş scope-ları daxilində yuxarı axın API-lərinə qarşı istifadə edə bilər. Bu problem 1.42.0 versiyasında düzəldilmişdir.