CVE-2026-62317 in Logto
الملخص
بحسب VulDB • 20/08/2026
Logto هو بنية أساسية حديثة ومفتوحة المصدر للمصادقة (auth) مخصصة لتطبيقات SaaS وAI. قبل الإصدار 1.41.0، كانت قائمة حظر البريد الإلكتروني الفرعي في Logto الموجودة في `packages/core/src/libraries/sign-in-experience/email-blocklist-policy.ts` تستخدم النطاق الذي يتحكم فيه المهاجم من مدخلات البريد الإلكتروني لبناء تعبير النمط `subaddressingRegex` عند تفعيل خيار `blockSubaddressing`. كان التعبير النمطي `emailRegEx` المتساهل يقبل وجود علامات @ متعددة ورموز خاصة في التعبيرات النمطية (metacharacters)، مما قد يتسبب في حدوث "تراجع كارثي" (catastrophic backtracking) عند استدعاء دالة الاختبار `subaddressingRegex.test(email)` عبر نقطة النهاية POST `/api/experience/verification/verification-code`. يمكن أن يؤدي توقف حلقة الأحداث الناتج إلى جعل خدمات المصادقة، وإصدار الرموز المميزة (tokens)، والمصادقة أحادية المرور (SSO)، ولوحة الإدارة غير متاحة. تم إصلاح هذه المشكلة في الإصدار 1.41.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.