CVE-2026-115770
Açıklama
Pocket ID, kullanıcıların geçiş anahtarlarıyla (passkey) servislere kimlik doğrulaması yapmasına olanak tanıyan bir OIDC sağlayıcısıdır. 2.2.0 ile 2.12.0 sürümleri arasında, SendEmailVerification fonksiyonu, e-posta doğrulama belirtecini yalnızca kullanıcının tanımlayıcısına bağlamak için backend/internal/model/email_verification_token.go dosyasındaki token modelini kullanırken; UpdateUser, mevcut belirteci geçersiz kılmadan hesap e-postasını değiştirebilir ve VerifyEmail mevcut adresi doğrulanmış olarak işaretler. Sıradan bir kullanıcı, kontrol ettiği bir adres için belirteç talep edebilir, hesabı rastgele kullanılmayan bir adrese değiştirebilir ve eski belirteci kullanarak Pocket ID'nin yeni adresi email_verified=true şeklinde yayınlamasını sağlayabilir. Etkilenen varsayılan yapılandırma emailsVerified=false ve allowOwnAccountEdit=true ayarlarını kullanır; hedef adresin halihazırda başka bir Pocket ID kullanıcısına ait olmaması gerekir. Otomatik hesap eşleştirme veya provizyon için doğrulanmış bir e-postaya güvenen bağımlı bir uygulama, saldırganın kimliğini başka bir kullanıcının hesabıyla ilişkilendirebilir; ancak yalnızca sabit OIDC sub talebine dayanan uygulamalar bu alt akış sonucundan etkilenmez. Bu sorun 2.12.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pocket-id pocket-id | >= 2.2.0, < 2.12.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.