CVE-2026-62662

اسم البرنامج المصاب والإصدارات المتأثرة Pocket ID الإصدارات من 1.11.0 إلى 2.9.9

الوصف توجد مشكلة في مزود OIDC حيث تقبل الدالة createTokenFromClientCredentials() في backend/internal/service/oidc service.go معامل resource الذي يتحكم فيه العميل وتدرجه مباشرة في مطالبة aud لرمز الوصول دون التحقق من أن الجمهور مسجل أو أن العميل الطالب يمكنه الوصول إليه. يتيح ذلك لأي عميل OIDC مصادق عليه الحصول على رمز موقع من Pocket ID يحدد جمهورًا تعسفيًا أو عميلاً آخر. لا يمكن لنقطة النهاية /api/oidc/introspect تمييز الرمز غير المصرح به لأنها تعتبر الرمز نشطًا عندما يتطابق معرف العميل الذي يقوم بالفحص مع الجمهور الذي اختاره المهاجم. في عمليات النشر التي تثق فيها خوادم الموارد في رموز وصول Pocket ID للتفويض من خدمة إلى خدمة، يؤدي ذلك إلى تجاوز ضوابط الوصول القائمة على الجمهور وقد يسمح بالوصول غير المصرح به إلى البيانات أو الإجراءات.

التوصيات التحديث إلى الإصدار 2.10.0.