CVE-2026-102460

Eclipse Vert.x [4.0.0, 4.5.34], [5.0.0, 5.0.12], [5.1.0, 5.1.9] veya [5.2.0, 5.2.0] sürümlerinde, Eclipse Vert.x Web'in ChainAuthHandler bileşeninde, JWTAuthHandler veya OAuth2AuthHandler gibi kapsam (scope) gerektiren kimlik doğrulama işleyicileriyle kullanıldığında bir kapsam atlatma zafiyeti bulunmaktadır. Bir kullanıcı, istek hattındaki önceki bir işleyici tarafından yönlendirme bağlamında zaten kimliği doğrulanmışsa, ChainAuthHandler, withScope() veya withScopes() aracılığıyla yapılandırılan tüm kapsam doğrulamalarını atlar. Bu durum hem any() hem de all() zincir modlarını etkilemektedir. Kök neden, postAuthentication() fonksiyonunun yalnızca authenticate() aşamasında ayarlanan ve önceden kimliği doğrulanmış kullanıcılar için tamamen atlanan dahili duruma dayanmasıdır. any() modunda, bu durumun eksikliği metodun kapsam kontrollerini herhangi bir işleyiciye devretmeden sonlanmasına neden olur. all() modunda ise kapsam kontrolleri koşulsuz olarak atlanır. Bu durum, geçerli bir tokene sahip ancak yetersiz kapsamlara sahip olan bir kullanıcının, hat üzerindeki daha önceki bir işleyici tarafından kimliği doğrulanmış olması şartıyla, kapsam gereksinimleriyle korunan kaynaklara erişmesine izin verir. En yaygın tetikleyici, üst rotanın geniş çaplı kimlik doğrulaması yaptığı ve alt rotanın belirli kapsamları zorlamak için bir zincir kullandığı iç içe geçmiş rotalardaki örtüşen kimlik doğrulama işleyicileridir. Etkilenen bileşenin Maven koordinatı io.vertx:vertx-web şeklindedir.