CVE-2026-66884

Nome do Software Vulnerável e Versões Afetadas oidcc plug versões 0.2.0-beta.1 até 0.4.9

Description Uma falha de Cross-Site Request Forgery no módulo Oidcc.Plug.AuthorizationCallback permite que um invasor force o navegador de uma vítima a completar um fluxo de autorização não iniciado por ela. A função Oidcc.Plug.AuthorizationCallback.call/2() não rejeita solicitações de callback que não possuam uma sessão Oidcc.Plug.Authorize, aplicando em vez disso padrões permissivos que ignoram verificações de segurança de nonce, state, PKCE, IP do peer e user agent. Além disso, a função check state/2() aceita solicitações sem estado quando um verificador está presente. Um invasor pode usar um código de autorização de sua própria conta para fazer com que a vítima entre na conta do invasor ou, em casos onde um único callback é usado tanto para login quanto para vincular contas, realizar o sequestro total da conta ao vincular a conta do invasor à da vítima.

Recommendations Atualize o oidcc plug para a versão 0.5.0 ou posterior. Como medida paliativa temporária, insira um plug antes do Oidcc.Plug.AuthorizationCallback que rejeite solicitações caso a sessão Oidcc.Plug.Authorize ou o parâmetro de consulta state estejam ausentes.