CVE-2026-107503

Eclipse Ditto 3.6.0 ile 3.8.13 ve 3.9.0 ile 3.9.7 arasındaki sürümlerde, Ditto Explorer UI; Ditto API URI ve OpenID Connect (OIDC) sağlayıcı ayarları dahil olmak üzere tüm ortam yapılandırmasını, environmentsURL sorgu parametresinde sağlanan rastgele bir cross-origin URL'den yüklemektedir. Bu yapılandırma kullanıcı onayı alınmadan benimsenmekte ve tarayıcının localStorage alanında saklanmaktadır. Bu nedenle, özel olarak hazırlanmış bir bağlantı, autoSso etkinleştirilmiş şekilde saldırgan tarafından kontrol edilen bir OIDC yetkilisi ayarlayabilir. Ardından UI, gerçek kimlik sağlayıcıda otomatik olarak bir oturum açma işlemi başlatır ancak dönen yetkilendirme kodunu PKCE code_verifier değeriyle birlikte saldırganın kontrolündeki bir token uç noktasına gönderir. Bu durum, saldırganın kodu kurbanın erişim ve yenileme jetonları (access and refresh tokens) için kullanmasına olanak tanır. Alternatif olarak, saldırgan tarafından kontrol edilen bir api_uri, UI'ın kurbanın bearer token veya Basic kimlik bilgilerini saldırgana göndermesine neden olur. Yapılandırma kalıcı hale getirildiği için, hazırlanan bağlantı olmadan yapılan sonraki ziyaretlerde jeton hırsızlığı tekrarlanır. 3.9.0 ile 3.9.7 arasındaki sürümlerde, Helm chart ve Docker Compose dağıtımının Swagger UI OIDC entegrasyonu da aynı şekilde etkilenmektedir ancak bu durum kullanıcının oturum açma işlemini başlatmasını gerektirir. Sorun 3.8.14 ve 3.9.8 sürümlerinde düzeltilmiştir.