PT-2026-34722
CVE-2026-41213
·
تاريخ النشر
2026-04-16
·
تاريخ التحديث
2026-04-23
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
@node-oauth/oauth2-server (الإصدارات المتأثرة غير محددة)
الوصف
يقبل مسار تبادل الرموز (token exchange path) قيمًا غير صالحة لـ
code verifier، بما في ذلك السلاسل المكونة من حرف واحد، في تدفقات S256 PKCE (Proof Key for Code Exchange)، وهو ما يتعارض مع RFC7636. ونظرًا لأن أدوات التحقق القصيرة أو الضعيفة مسموح بها، ولأن المحاولات الفاشلة لا تؤدي إلى إبطال صلاحية رمز التفويض، يمكن للمهاجم الذي يعترض رمز التفويض أن ينفذ هجومًا عبر الإنترنت باستخدام طريقة القوة الغاشمة (brute-force) على تخمينات code verifier للحصول على الرمز المميز.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾