PT-2026-137643

CVE-2026-123196

Publicado

2026-11-05

Atualizado

2026-11-05

Descrição por

CVSS 4.0

8.6

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Authorizer versões anteriores a 2.4.2

Description Existe um problema onde invasores não autenticados podem controlar os hosts de links enviados por e-mail. Isso é feito fornecendo metadados gRPC x-authorizer-url para a porta gRPC ou usando um cabeçalho Grpc-Metadata-X-Authorizer-Url através do gateway REST. Isso permite que invasores capturem tokens de redefinição ou magic-links, podendo levar à invasão de contas.

Recommendations Atualize o Authorizer para a versão 2.4.2 ou posterior.

Explorabilidade

Exploit

Correção

Pesquisadores

Lakhan Samani

Theodoros Lampropoulos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-640: Weak Password Recovery Mechanism for Forgotten Password

Identificadores relacionados