CVE-2026-67345 in MaxKey
Zusammenfassung
von VulDB • 31.07.2026
MaxKey bis Version 4.1.12 (behebt in Commit ddbb72f) enthält eine Schwachstelle mit unzureichender Validierung der Redirect-URI in DefaultRedirectResolver.hostMatches(), die es Remoteangreifern ermöglicht, OAuth-2.0-Autorisierungscodes zu übernehmen, indem sie eine manipulierte redirect_uri angeben, deren Hostname-Suffix einer registrierten URI entspricht, ohne dass eine ordnungsgemäße Verankerung an der Punktgrenze (dot-boundary anchoring) erfolgt. Angreifer, die ein Domänenende kontrollieren, das mit dem Hostnamen der registrierten Redirect-URI endet, können Opfer durch Social Engineering dazu bringen, auf eine manipulierte Autorisierungs-URL zu klicken, wodurch der Autorisierungscode an die vom Angreifer kontrollierte URI ausgestellt und gegen einen Zugriffstoken getauscht wird, der den Zugang zur Identität des Opfers gewährt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.