CVE-2026-63203

Nome do Software Vulnerável e Versões Afetadas Logto versões 1.31.0 through 1.41.0

Description Os manipuladores da API de Conta em packages/core/src/routes/account/third-party-tokens.ts permitem que um chamador com um token de acesso do mesmo usuário contendo apenas o escopo openid recupere tokens de acesso de provedores de SSO sociais ou empresariais armazenados. Isso ocorre porque os manipuladores autenticam o usuário, mas não exigem o escopo identities, que deve proteger operações de detalhes de identidade, ignorando a fronteira de consentimento da API de Conta. Este problema pode ser explorado se o armazenamento de conjunto de tokens federados estiver habilitado e o usuário tiver se autenticado por meio de um conector suportado, permitindo que um aplicativo de baixa confiança use o token do provedor divulgado contra APIs upstream. Os endpoints afetados são 'GET /api/my-account/identities/{target}/access-token' e 'GET /api/my-account/sso-identities/{connectorId}/access-token'.

Recommendations Atualizar para a versão 1.42.0.