CVE-2026-41059

إصدارات OAuth2 Proxy من 7.5.0 إلى 7.15.1

توجد ثغرة لتجاوز المصادقة تعتمد على التكوين عندما يتم نشر البرنامج باستخدام skip auth routes أو الخيار القديم skip auth regex مع أنماط يمكن توسيعها بواسطة لاحقات يتحكم فيها المهاجم. يحدث هذا عندما تفسر التطبيقات المحمية في المرحلة الأولية الحرف # على أنه محدد جزء أو توجه الطلب إلى المسار الأساسي المحمي. يمكن لمهاجم غير مصدق إرساله طلبًا مُصممًا خصيصًا يحتوي على علامة الرقم في المسار، بما في ذلك الصيغة المشفرة الآمنة للمتصفح %23، مما يسمح للطلب بمطابقة قاعدة قائمة السماح العامة بينما تقوم الخلفية بتقديم مورد محمي.

قم بالتحديث إلى الإصدار 7.15.2.

تشديد أو إزالة قواعد skip auth routes وskip auth regex، خاصة الأنماط التي تستخدم أحرف البدل العامة عبر أجزاء المسار.

استبدال القواعد العامة بمسارات عامة محددة ومثبتة وطرق HTTP صريحة.

رفض الطلبات التي تحتوي على %23 أو # في المسار عند مستوى الدخول أو موزع الحمل أو جدار الحماية (WAF).

تجنب وضع مسارات التطبيقات الحساسة خلف قواعد skip auth routes واسعة النطاق.