CVE-2025-49006

Wasp (Web Application Specification), React, Node.js ve Prisma için Rails benzeri bir framework'tür. Versiyon 0.16.6 öncesinde, Wasp kimlik doğrulaması, OAuth kimlik doğrulama uygulamasında (yalnızca belirli bir yapılandırmaya sahip Keycloak'ı etkileyen) bir güvenlik açığına sahiptir. Wasp şu anda OAuth kullanıcı kimliklerini saklamadan veya getirmeden önce küçük harfe dönüştürmektedir. Bu davranış, OAuth ve OpenID Connect spesifikasyonlarını ihlal eder; kullanıcı taklidi, hesap çakışmaları ve yetki yükseltme ile sonuçlanabilir. Pratikte, Wasp auth tarafından desteklenen OAuth sağlayıcıları arasında yalnızca Keycloak etkilenmektedir. Keycloak varsayılan olarak küçük harfli UUID kullanır ancak kullanıcılar bunu büyük-küçük harf duyarlı olacak şekilde yapılandırabildiğinden etkilenmektedir. Google, GitHub ve Discord sayısal kimlikler kullandığından etkilenmemektedir. Kullanıcıların, sorunlu davranış için düzeltme içeren `0.16.6` Wasp versiyonuna güncellemeleri önerilir. Keycloak kullanan kullanıcılar, realm yapılandırmalarında büyük-küçük harf duyarlı bir kullanıcı kimliği kullanmayarak sorunu giderebilirler.