CVE-2026-55834

Pocket ID, kullanıcıların geçiş anahtarlarıyla (passkey) servislere kimlik doğrulaması yapmasına olanak tanıyan bir OIDC sağlayıcısıdır. 2.6.0 ile 2.9.0 sürümleri arasında, frontend/src/routes/authorize/+page.ts dosyası redirect_uri sorgu parametresini okur ve frontend/src/routes/authorize/+page.svelte dosyası, prompt=none durumunda sessiz kimlik doğrulama tamamlanamadığında redirectWithError içerisinde ham callbackURL'yi kullanır. İstemci tarafındaki yol yalnızca javascript ve data şemalarını engeller ve arka uçtaki callback izin listesi doğrulamasını çağırmaz; bu nedenle geçerli bir client_id bilen kimliği doğrulanmamış bir saldırgan, kurban tarayıcıyı oltalama veya OIDC hata ve durum kaçakçılığı için rastgele bir HTTP veya HTTPS kaynağına yönlendirebilir. Bu sorun 2.9.0 sürümünde düzeltilmiştir.