CVE-2026-62317 in Logto
Zusammenfassung
von VulDB • 20.08.2026
Logto ist die moderne Open-Source-Authentifizierungsinfrastruktur für SaaS- und KI-Anwendungen. Vor Version 1.41.0 verwendete der Blocklist-Mechanismus für E-Mail-Subadressierung in Logto (in `packages/core/src/libraries/sign-in-experience/email-blocklist-policy.ts`) die vom Angreifer kontrollierte Domain aus dem Eingabefeld, um `subaddressingRegex` zu konstruieren, wenn `blockSubaddressing` aktiviert war. Das nachsichtige `emailRegEx` akzeptierte mehrere @-Zeichen und reguläre Ausdrucks-Metazeichen, wodurch ein POST an `/api/experience/verification/verification-code` katastrophales Backtracking in `subaddressingRegex.test(email)` verursachen konnte. Der daraus resultierende Event-Loop-Stall könnte die Authentifizierung, Token-Ausstellung, SSO und die administrative Konsole unzugänglich machen. Dieses Problem wurde in Version 1.41.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.