CVE-2026-59096

Nome do Software Vulnerável e Versões Afetadas Dapr (versões afetadas não especificadas)

Descrição O endpoint de descoberta OIDC /.well-known/openid-configuration do Dapr Sentry deriva o emissor e o jwks uri do Host da requisição. Quando nenhuma lista de hosts permitidos está configurada, o sistema aceita o cabeçalho X-Forwarded-Host controlado por um invasor sem validação e serve o documento com um tempo de cache público de uma hora. Um invasor remoto não autenticado pode envenenar o documento de descoberta, fazendo com que as partes confiantes que realizam a descoberta dinâmica busquem o JSON Web Key Set (JWKS) em um servidor controlado pelo invasor. Isso permite que JSON Web Tokens (JWTs) assinados pelo invasor sejam aceitos. Este problema ocorre quando o servidor OIDC está habilitado sem um jwt-issuer ou oidc-allowed-hosts configurados.

Recomendações Configure o jwt-issuer ou oidc-allowed-hosts para evitar que o endpoint de descoberta OIDC aceite cabeçalhos de host não validados.