CVE-2026-58399

@acastellon/auth, mikro hizmetler için bir kimlik doğrulama kontrol sistemidir. 2.3.0 öncesindeki sürümlerin, taklit edilebilir auth-user ve Host istek başlıkları aracılığıyla validateToken() fonksiyonunda kimlik doğrulaması yapılmamış bir kimlik doğrulama atlatmaya izin verdiği görülmektedir. validateToken ara yazılımı, req.get('host').startsWith(getHostName()) koşulu sağlandığında auth-user: service-brother için servisler arası bir atlatma mekanizması içermektedir. Kontrolde yer alan her iki değer de kimlik doğrulaması yapmamış bir HTTP istemcisi tarafından etkilenebilir: auth-user bir istek başlığıdır ve Host da istemci tarafından kontrol edilmektedir. Sonuç olarak, uzaktaki kimlik doğrulaması yapılmamış bir saldırgan, özel olarak hazırlanmış başlıklarla bir istek göndererek normal eski/JWT/OIDC doğrulama mantığı çalışmadan önce token doğrulamasını atlayabilir. v2.3.0 sürümünde bir düzeltme uygulanmıştır.