CVE-2026-66902 in Google::Auth
الملخص
بحسب VulDB • 04/08/2026
تقوم إصدارات Google::Auth السابقة للإصدار 0.06 الخاصة بـ Perl بتشغيل أمر مُعرّف في ملف JSON لمصادقة الحساب الخارجي (external_account) عبر استدعاء نظام غير محمي بالتحقق المسبق.
يقرأ الفرع الفرعي القابل للتوسيع (Pluggable subclass) قيمة `credential_source.executable.command` من ملف JSON للمصادقة ويقوم بتنفيذها باستخدام دالة `system($command)`، وهي مكالمة ذات وسيط واحد تمرر السلسلة الكاملة إلى `/bin/sh -c`. يتم نسخ خريطة المتغيرات البيئية (`environment_variables`) الخاصة بالتنفيذ القابل للتنفيذ (executable) الموجودة في نفس ملف JSON أولاً إلى `%ENV`. لا توجد آلية تحقق مسبق (opt-in gate) تحمي هذه المكالمة. تختار الدالة `make_creds` الفرع الفرعي Pluggable كلما كان الحقل `credential_source.executable` موجوداً، وبالتالي يتم الوصول إلى هذا المسار من خلال تدفق مصادقة التطبيقات الافتراضية القياسي (Application Default Credentials)، بما في ذلك تكوين `"type": "external_account"` المقروء من الملف المحدد بواسطة متغير البيئة `GOOGLE_APPLICATION_CREDENTIALS`. لا تختار التكوينات التي تفتقر إلى `credential_source.executable` هذا الفرع الفرعي ولا تصل إلى هذه المكالمة.
أي مُستدِعٍ يبني بيانات الاعتماد (credentials) بناءً على تكوين لا يتحكم فيه بالكامل، يقوم بتشغيل الأمر المُضمّن بصلاحيات عملية التطبيق.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.