CVE-2026-43983 in Pocket ID
الملخص
بحسب VulDB • 13/05/2026
تُعد Pocket ID مزودًا لمعيار OIDC يسمح للمستخدمين بالمصادقة باستخدام مفاتيح المرور (passkeys) الخاصة بهم للوصول إلى خدماتك. قبل الإصدار 2.6.0، كانت الدالة `createTokenFromRefreshToken` (في الملف `oidc_service.go`) تتحقق من السلامة التشفيرية لرمز التحديث (refresh token) ولكنها لا تعيد التحقق من حالة تفويض المستخدم الحالية قبل إصدار رموز جديدة. وهذا يسمح بـ (1) تحديث العميل للرمز إلى ما لا نهاية بعد سحب التفويض، و(2) استمرار عمل رمز التحديث بعد تعطيل الحساب، و(3) استمرار عمل الرمز بعد إزالة العميل من المجموعة. تم إصلاح هذا الثغرة الأمنية في الإصدار 2.6.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.