CVE-2026-13089

Perl için OIDC::Lite 0.12.1 ve önceki sürümler, verify fonksiyonundaki belirteç tarafından kontrol edilen bir algoritma izin listesi aracılığıyla ID Token imza doğrulamasının atlatılmasına izin verir. Çağıran taraf bir algoritmayı sabitlemediğinde, OIDC::Lite::Model::IDToken::verify, $self->alg($self->header->{alg}) değerini belirtecin kendi başlığından ayarlar ve ardından decode_jwt(token, key, 1, [$self->alg]) fonksiyonunu çağırarak JSON::WebToken'a güvenilmeyen belirteçten alınan kabul edilmiş algoritma izin listesini iletir. alg=none olan bir belirteç ['none'] sonucunu verir, böylece decode_jwt herhangi bir imza kontrolü yapmadan istemleri döndürür; alg=HS256 olan bir belirteç ise RP'nin RSA genel anahtarı HMAC sırrı olarak kullanılarak doğrulanır (RS'den HS'ye karıştırma). ID Token, Relying Party'ye iletilen OpenID Connect kimlik doğrulama iddiasıdır. Sabitlenmemiş load(token)->verify yolu üzerinden veya yalnızca anahtarın sabitlendiği load(token, key) ile bir ID Token'ı doğrulayan herhangi bir çağıran, saldırgan tarafından seçilen sub gibi istemleri taşıyan sahte bir belirteci kabul eder ve herhangi bir kullanıcı olarak kimliği doğrulanmış sayılır. Açık bir algoritma geçirilerek $self->alg değerinin önceden ayarlanması, başlıktan türetilen izin listesini devre dışı bırakır ve bu durumdan etkilenmez. CPAN'e yüklenen son sürümün 0.10 olduğu unutulmamalıdır. Daha yeni sürümler git deposunda mevcuttur.