CVE-2026-12740
Açıklama
Perl için Plack::Middleware::OAuth 0.10 ve öncesi sürümler, OAuth 2.0 state parametresini desteklememektedir. RequestTokenV2, bir state değeri oluşturmadan sağlayıcı yetkilendirme yönlendirmesini oluşturur ve AccessTokenV2, geri çağırma (callback) kodunu takas ederken ve sonuçlanan belirteci oturuma kaydederken (register_session), geri çağırmanın bu oturum tarafından başlatılan bir yetkilendirme isteğine karşılık geldiğini doğrulamaz. OAuth 2.0 girişi için bu ara yazılımı kullanan herhangi bir uygulama, giriş siteler arası istek sahteciliği (CSRF) riskine maruz kalır: Geri çağırma işlemi akışı başlatan oturuma bağlı olmadığı için, kendi sağlayıcı hesabı ile bir yetkilendirme başlatan saldırgan, ortaya çıkan geri çağırmayı bir kurbana iletebilir; bu durum kurbanın oturumunun saldırganın yetkilendirmesini tamamlamasına neden olur ve saldırganın sağlayıcı kimliğini ve erişim belirtecini o oturumla ilişkilendirir. Uygulamanın bunu bir hesap bağlantısı olarak kalıcı hale getirdiği durumlarda, saldırgan kendi sağlayıcı kimlik bilgileri aracılığıyla kurbanın hesabına erişimi sürdürebilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| CORNELIUS Plack::Middleware::OAuth | v ≤ 0.10 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.