CVE-2026-62662

Nome do Software Vulnerável e Versões Afetadas Pocket ID versões 1.11.0 até 2.9.9

Descrição Existe um problema no provedor OIDC onde a função createTokenFromClientCredentials() em backend/internal/service/oidc service.go aceita o parâmetro resource controlado pelo cliente e o insere diretamente na reivindicação aud do token de acesso, sem validar se a audiência está registrada ou se o cliente solicitante pode acessá-la. Isso permite que um cliente OIDC autenticado obtenha um token assinado nomeando uma audiência arbitrária ou outro cliente. O endpoint /api/oidc/introspect não consegue distinguir esses tokens não autorizados porque trata um token como ativo quando o identificador do cliente de introspecção coincide com a audiência selecionada pelo invasor. Em implantações onde os servidores de recursos confiam nos tokens de acesso do Pocket ID para autorização de serviço para serviço, isso ignora os controles de acesso baseados em audiência e pode permitir o acesso a dados ou ações não autorizadas.

Recomendações Atualizar para a versão 2.10.0.