CVE-2026-33758

إصدارات OpenBao الأقدم من 2.5.2

OpenBao، وهو نظام مفتوح المصدر لإدارة الأسرار القائمة على الهوية، معرض لخطر ”البرمجة النصية عبر المواقع المنعكسة“ (XSS) من خلال المعلمة error description أثناء محاولات المصادقة الفاشلة عندما تكون طريقة المصادقة OIDC/JWT ممكّنة ويتم تكوين دور باستخدام callback mode=direct. وهذا يسمح للمهاجم بالوصول إلى الرمز المميز الذي يستخدمه الضحية في واجهة المستخدم على الويب. تم معالجة هذه المشكلة عن طريق استبدال المعلمة error description برسالة خطأ ثابتة. لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات (API) المتورطة في الثغرة بشكل صريح. المعلمة المعرضة للخطر هي error description.

يجب تحديث الإصدارات السابقة للإصدار 2.5.2 إلى الإصدار 2.5.2 أو أحدث.

كإجراء تخفيفي، قم بإزالة أي أدوار تم تعيين callback mode لها على direct.