PT-2026-24136
CVE-2026-28512
·
تاريخ النشر
2026-03-09
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Pocket ID، الإصدارات من 2.0.0 إلى 2.4.0
الوصف
سمح خلل في التحقق من صحة عنوان URL الخاص بالاستدعاء المرتد (callback) لقيم
redirect uri المُتلاعب بها، والتي تحتوي على معلومات المستخدم في عنوان URL (@)، بالتحايل على عمليات التحقق الشرعية من نمط الاستدعاء المرتد. إذا تمكن المهاجم من حث مستخدم على فتح رابط تفويض ضار، فقد يتم إعادة توجيه رمز التفويض إلى مضيف يسيطر عليه المهاجم. تؤثر هذه المشكلة على مزود OpenID Connect (OIDC)، مما يسمح للمستخدمين بتوثيق هويتهم باستخدام مفاتيح المرور.التوصيات
قم بالتحديث إلى الإصدار 2.4.0 أو أحدث.
كحل بديل، قم برفض عناوين URL الخاصة بالاستدعاء التي تحتوي على معلومات المستخدم (
@) على مستوى الوكيل العكسي أو سياسة التطبيق، إن أمكن.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾