CVE-2026-40574
Açıklama
OAuth2 Proxy, OAuth2 sağlayıcılarını kullanarak kimlik doğrulama sağlayan bir ters vekil sunucudur (reverse proxy). 7.15.2 sürümünden önce, OAuth2 Proxy'de email_domain zorunluluğu seçeneğinin bir parçası olarak bir yetkilendirme atlatma zafiyeti bulunmaktadır. Bir saldırgan, talep geçerli bir e-posta adresi olmasa bile, [email protected]@company.com gibi bir e-posta talebiyle kimlik doğrulaması yapabilir ve company.com için izin verilen alan adı kontrolünü karşılayabilir. Bu sorun YALNIZCA email_domain kısıtlamalarına dayanan ve kimlik sağlayıcılardan veya normal e-posta sözdizimini kesin olarak uygulamayan talep eşlemelerinden gelen e-posta talebi değerlerini kabul eden kurulumları etkilemektedir. Bu zafiyet 7.15.2 sürümünde giderilmiştir.
Nasıl düzeltilir
- oauth2_proxy_project oauth2_proxy7.15.2 ya da sonraki bir sürüm
- github.com/oauth2-proxy/oauth2-proxy/v77.15.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| oauth2_proxy_project oauth2_proxy | v < 7.15.2 | 7.15.2 |
| github.com/oauth2-proxy/oauth2-proxy/v7Go | v < 7.15.2 | 7.15.2 |
| github.com/oauth2-proxy/oauth2-proxyGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.