CVE-2020-7787

Bu durum react-adal paketinin tüm versiyonlarını etkilemektedir. Özel olarak hazırlanmış bir JWT belirteci ve istek URL'si; nonce, session ve refresh değerlerinin yanlış doğrulanmasına neden olarak uygulamanın saldırgan tarafından oluşturulmuş bir JWT belirtecini gerçek olarak kabul etmesine yol açabilir. Mantıksal kusur, nonce, session ve refresh değerlerinin tarayıcı yerel depolamasında (local storage) veya oturum depolamasında (session storage) saklanma biçiminden kaynaklanmaktadır. Her anahtarın sonuna otomatik olarak || eklenir. Alınan nonce ve session anahtarları oluşturulduğunda, değerler listesi tarayıcı depolamasına || ile ayrılarak kaydedilir ve listenin sonuna her zaman || eklenir. Saklanan değerlerin son iki karakteri her zaman || olacağından, geçerli değerler listesinde her zaman boş bir dize ("") bulunur. Bu nedenle, geri çağırma (callback) URL'sinde boş bir session parametresi sağlanırsa ve özel olarak hazırlanmış bir JWT belirteci "" (boş dize) şeklinde bir nonce değeri içerirse, adal.js bu JWT belirtecini gerçek olarak değerlendirecektir.