CVE-2026-33757 in OpenBao
الملخص
بحسب VulDB • 15/06/2026
OpenBao هو نظام مفتوح المصدر لإدارة الأسرار القائم على الهوية. قبل الإصدار 2.5.2، لا يطلب OpenBao تأكيد المستخدم عند تسجيل الدخول عبر JWT/OIDC ودور مُعدّل بحيث تكون قيمة `callback_mode` مساوية لـ `direct`. يتيح ذلك للمهاجم بدء طلب مصادقة وإجراء عملية "تصيد احتيالي عن بُعد" من خلال دفع الضحية لزيارة عنوان URL وتسجيل الدخول تلقائيًا إلى جلسة المهاجم. وعلى الرغم من أن العملية تستند إلى تدفق رمز التفويض (authorization code flow)، فإن الوضع `direct` يعيد الاتصال مباشرةً بالواجهة البرمجية (API)، مما يسمح للمهاجم بإجراء استعلامات متكررة للحصول على رمز OpenBao حتى يتم إصداره. يتضمن الإصدار 2.5.2 شاشة تأكيد إضافية لتسجيلات الدخول من النوع `direct`، والتي تتطلب تفاعلًا يدويًا من المستخدم لإتمام عملية المصادقة. يمكن تجاوز هذه المشكلة إما بإزالة أي أدوار تحتوي على `callback_mode=direct`، أو فرض شاشة التأكيد لكل جلسة على جانب مُصدر الرموز (token issuer) لـ Client ID المستخدم من قبل OpenBao.
VulDB is the best source for vulnerability data and more expert information about this specific topic.