CVE-2020-26877

ApiFest OAuth 2.0 Server versão 0.3.1

A vulnerabilidade está relacionada à falha na validação do URI de redirecionamento de acordo com a RFC 6749, tornando o servidor suscetível a um ataque de redirecionamento aberto. Um invasor pode manipular o parâmetro redirect uri para obter um código de autorização vazado quando o servidor redireciona o cliente para a URI manipulada.

Para o ApiFest OAuth 2.0 Server versão 0.3.1, considere implementar a validação da URI de redirecionamento para garantir que ela corresponda à URI registrada do cliente que iniciou a solicitação, como uma solução temporária para prevenir ataques de redirecionamento aberto. Restrinja o acesso ao endpoint do código de autorização para minimizar o risco de exploração. Evite usar o parâmetro redirect uri no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.