CVE-2026-66884

Erlang Ecosystem Foundation oidcc_plug (Oidcc.Plug.AuthorizationCallback modülü) bileşenindeki bir Siteler Arası İstek Sahteciliği (CSRF) zafiyeti, bir saldırganın kurbanın tarayıcısının, kurban tarafından hiç başlatılmamış bir yetkilendirme akışını tamamlamasını sağlamasına olanak tanır. Bu zafiyet, lib/oidcc/plug/authorization_callback.ex program dosyası ve Oidcc.Plug.AuthorizationCallback.call/2 program rutini ile ilişkilidir. Herhangi bir Oidcc.Plug.Authorize oturumu taşımayan bir geri çağırma (callback) isteği, reddedilmek yerine tüm güvenlik kontrolleri devre dışı bırakılarak işlenir. call/2 fonksiyonu, eksik oturum için izin verici varsayılan değerler atar ve her bir alt kontrol bu değeri karşılaştırılacak bir şey yokmuş gibi değerlendirip :ok döndürür; böylece nonce, state, PKCE, eş IP ve kullanıcı aracısı (user agent) kontrollerinin tamamı atlanır. check_state/2 fonksiyonunun ayrı bir yan tümcesi de, bir doğrulayıcı mevcut olduğunda durumsuz (state-less) bir isteği kabul eder. Saldırgan kendi sağlayıcı hesabı için bir yetkilendirme kodu alır, ardından kurbanı bu kodla ve herhangi bir state parametresi olmadan geri çağırma uç noktasına gitmeye ikna eder. Uygulama, kurbanı saldırgan olarak sisteme giriş yaptırır, böylece kurbanın sonraki işlemleri saldırganın hesabında gerçekleşir ve saldırgan bunları okuyabilir. Hem giriş yapmak hem de bir sağlayıcı hesabını bağlamak için tek bir geri çağırmayı yeniden kullanan uygulamalar, saldırganın hesabının kurbana bağlanmasıyla hesap ele geçirme riskine daha fazla maruz kalır. İzin verici yedek mekanizma, standartlara uygun hiçbir akışa hizmet etmez. Üçüncü taraf tarafından başlatılan giriş işlemi, güvenilen tarafa ayrı bir giriş başlatma uç noktasından ulaşır ve onun yeni bir kimlik doğrulama isteği göndermesine neden olur; ancak bu kitaplık böyle bir uç nokta uygulamaz. Oidcc.Plug.Authorize her zaman bir state parametresi gönderir ve bir yetkilendirme sunucusu bunu geri yansıtmalıdır, dolayısıyla meşru hiçbir geri çağırma isteğinde bu parametre eksik olmaz. Bu sorun, 0.2.0-beta.1 sürümünden 0.5.0 öncesine kadar olan oidcc_plug sürümlerini etkilemektedir.