CVE-2026-41671

Admidio açık kaynaklı bir kullanıcı yönetim çözümüdür. Versiyon 5.0.9 öncesinde, OIDC token introspection uç noktası (/modules/sso/index.php/oidc/introspect), geçerli bir token sağlanıp sağlanmadığına, token'ın süresinin dolup dolmadığına, iptal edilip edilmediğine veya tamamen uydurma olup olmadığına bakılmaksızın her istek için her zaman {"active": true} döndürmektedir. Uç nokta, çağıran kaynak sunucunun hiçbir kimlik doğrulamasını ve gönderilen token'ın hiçbir doğrulamasını yapmamaktadır. Erişim token'larını doğrulamak için bu introspection uç noktasına güvenen herhangi bir kaynak sunucu, tüm istekleri yetkili olarak kabul edecek ve bu durum tam bir kimlik doğrulama atlatmaya olanak tanıyacaktır. Ek olarak, OIDC token revocation uç noktası (/oidc/revoke), herhangi bir token'ı gerçekten iptal etmeden {"revoked": true} döndürerek kaynak sunucuların ele geçirilmiş kimlik bilgilerini geçersiz kılmasını engellemektedir. Bu sorun versiyon 5.0.9 ile düzeltilmiştir.