PT-2026-40035
CVE-2026-43983
·
تاريخ النشر
2026-05-12
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 4.0
8.5
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Pocket ID الأقدم من 2.6.0
الوصف
تقوم الدالة
createTokenFromRefreshToken() الموجودة في ملف oidc service.go بالتحقق من سلامة التشفير لرموز التحديث (refresh tokens)، لكنها لا تعيد التحقق من حالة التفويض الحالية للمستخدم قبل إصدار رموز جديدة. تسمح هذه الثغرة للعملاء بتجديد الرموز إلى ما لا نهاية بعد إلغاء التفويض، وتتيح استمرار عمل رموز التجديد بعد تعطيل الحساب، كما تسمح للرموز بالعمل حتى بعد إزالة العميل من المجموعة.التوصيات
التحديث إلى الإصدار 2.6.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾