CVE-2026-62662

Pocket ID, kullanıcıların geçiş anahtarlarıyla (passkey) servislere kimlik doğrulaması yapmasına olanak tanıyan bir OIDC sağlayıcısıdır. 1.11.0 ile 2.10.0 sürümleri arasında, backend/internal/service/oidc_service.go dosyasındaki createTokenFromClientCredentials fonksiyonu, istemci tarafından kontrol edilen resource parametresini kabul eder ve hedef kitlenin (audience) kayıtlı olup olmadığını veya istek yapan istemcinin buna erişim yetkisi olup olmadığını doğrulamadan doğrudan erişim belirteci (access token) aud talebine yerleştirir. Bu nedenle, kimliği doğrulanmış herhangi bir OIDC istemcisi, başka bir istemciyi veya rastgele bir hedef kitleyi belirten Pocket ID imzalı bir belirteç elde edebilir. /api/oidc/introspect uç noktası, inceleme yapan istemcinin tanımlayıcısı saldırgan tarafından seçilen hedef kitleyle eşleştiğinde belirteci aktif olarak değerlendirdiği için yetkisiz belirteci ayırt edemez. Kaynak sunucuların servisler arası yetkilendirme için Pocket ID erişim belirteçlerine güvendiği kurulumlarda, bu durum hedef kitle tabanlı erişim kontrollerini atlatır ve yetkisiz veri erişimine veya işlemlere izin verebilir; bu belirteçleri kaynak sunucu yetkilendirmesi için kullanmayan kurulumların ise doğrudan istismar edilebilir bir etkisi yoktur. Bu sorun 2.10.0 sürümünde düzeltilmiştir.