CVE-2024-42350

Biscuit; merkeziyetsiz doğrulama, çevrimdışı zayıflatma ve bir mantık diline dayalı güçlü güvenlik politikası uygulamasına sahip bir yetkilendirme belirtecidir. Tüm belirteç üçüncü taraf otoriteye aktarılmadan üçüncü taraf blokları oluşturulabilir. Bunun yerine, yalnızca bir üçüncü taraf bloğu oluşturmak ve imzalamak için gerekli bilgileri sağlayan bir `ThirdPartyBlock` isteği gönderilebilir: 1. önceki bloğun genel anahtarı (imzada kullanılır), 2. belirteç sembol tablosunun genel anahtarlar kısmı (datalog ifadelerinde genel anahtar stajı için). Kötü niyetli bir kullanıcı tarafından sahte olarak oluşturulan bir üçüncü taraf blok isteği, üçüncü taraf otoritesini yanlış anahtar çiftine güvenen datalog oluşturmaya yönlendirebilir. Üçüncü taraf blok isteği aracılığıyla oluşturulan ve `trusted` açıklamaları içeren üçüncü taraf bloklarına sahip belirteçler etkilenmektedir. Bu durum spesifikasyonun 4. versiyonunda giderilmiştir. Kullanıcıların, uygulamalarını buna uygun şekilde güncellemeleri önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.