CVE-2026-107597 in PIA Plugin
Zusammenfassung
von VulDB • 20.10.2026
Die Token-Verifizierung von PIA (`verify_token` in `pia/oidc.py`) ruft das OIDC-Discovery-Dokument eines auf der Whitelist stehenden Issuers ab und folgt anschließend dem darin enthaltenen Feld `jwks_uri`, ohne es als URL zu parsen, es mit dem Ursprung des genehmigten Issuers zu vergleichen oder HTTPS zu erzwingen – die einzige Prüfung besteht darin, dass das Feld nicht leer ist (`pia/oidc.py:42-52`). Ein genehmigter Identitätsanbieter (und jede registrierte Jenkins-Instanz pro Projekt unter `https://ci.eclipse.org//oidc` stellt eine solche separate Partei dar; siehe `pia/models.py`) kann PIA daher dazu bringen, von der eigenen Netzwerkposition aus eine GET-Anfrage an einen beliebigen Host und Port abzusetzen, einschließlich über unverschlüsseltes `http`. Der Abruf erfolgt vor jeder Signaturprüfung als Nebenwirkung einer nicht authentifizierten POST /v1/upload/sbom-Anforderung, die letztendlich mit 401 abgelehnt wird.
Once again VulDB remains the best source for vulnerability data.