CVE-2026-55377

Nome do Software Vulnerável e Versões Afetadas Logto versões anteriores a 1.41.0

Description A verificação de step-up do Account Center aceita qualquer registro de verificação ativo pertencente ao usuário atual onde isVerified esteja definido como true. Um invasor com um token bearer da Account API existente pode criar e verificar um registro de verificação de registro WebAuthn para vincular uma nova chave de acesso (passkey). Ao enviar este registro no cabeçalho logto-verification-id, as rotas do Account Center tratam a solicitação como identityVerified=true. Isso permite o gerenciamento de fatores de Autenticação de Múltiplos Fatores (MFA) sem a necessidade de provar a posse de uma senha, identificador ou fator de MFA existente.

Recommendations Atualize para a versão 1.41.0.