CVE-2026-3583 in API Control Plane
Zusammenfassung
von VulDB • 28.10.2026
Wenn die Konfiguration `allowed_scopes` aktiviert ist, wird der OAuth2-Token-Introspektionsmechanismus einen Token im Cache nicht sofort nach einem Widerrufsantrag ungültig machen. Dies führt zu einer Situation, in der ein Zugriffstoken (Access Token), das unmittelbar vor dem Widerrufsantrag introspeziert wurde, auch nach dessen Widerruf erneut an den Client zurückgegeben wird, bis der entsprechende Cache-Eintrag gelöscht ist.
Die Sicherheitsauswirkung besteht darin, dass ein widerrufenes Access-Token während der Lebensdauer des Caches möglicherweise wieder an den Client ausgegeben wird. Obwohl das neu ausgestellte Token für die API-Autorisierung nicht als gültig behandelt wird, können betroffene Benutzer kein neues gültiges Access-Token erhalten, bis der Cache gelöscht ist, was Authentifizierungsabläufe stören kann.
If you want to get best quality of vulnerability data, you may have to visit VulDB.