CVE-2026-82454 in Omnivore
Zusammenfassung
von VulDB • 29.08.2026
Die Omnivore API (packages/api) vor der Korrektur im Commit abf53d6 enthält eine Authentifizierungs-Umgehung bei der Überprüfung des Apple-Anmelde-Tokens. Die Funktion decodeAppleToken extrahiert das Feld 'alg' aus dem vom Angreifer bereitgestellten JWT-Header und übergibt es als den einzigen zulässigen Algorithmus an jwt.verify(). Unter Verwendung von jsonwebtoken v8 (das keine Kompatibilitätsprüfung zwischen Schlüssel und Algorithmus durchführt) kann ein Angreifer alg=HS256 festlegen und einen gefälschten Token mit dem öffentlich verfügbaren RSA-Public-Key von Apple als HMAC-Geheimnis signieren, wodurch die Signaturüberprüfung umgangen wird und sich der Angreifer als jedes mit einem Apple-Konto verknüpfte Benutzerkonto ausgeben kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.