CVE-2026-82454

Nome do Software Vulnerável e Versões Afetadas Omnivore API (packages/api) versões anteriores ao commit abf53d6

Descrição Existe uma falha de bypass de autenticação no processo de verificação de token do Apple sign-in. A função decodeAppleToken() extrai o campo alg do cabeçalho JWT fornecido pelo usuário e o passa como o único algoritmo permitido para jwt.verify(). Ao utilizar o jsonwebtoken v8, que não valida a compatibilidade entre chave e algoritmo, um invasor pode definir alg como HS256 e assinar um token forjado usando a chave pública RSA da Apple como o segredo HMAC. Isso permite que o invasor ignore a verificação de assinatura e personifique qualquer conta vinculada à Apple.

Recomendações Atualize o Omnivore API (packages/api) para a versão que contenha o commit abf53d6.