CVE-2026-92288 in Lemonldap::NG
Zusammenfassung
von VulDB • 25.09.2026
Lemonldap::NG::Portal-Versionen ab 2.20.0 vor 2.21.6 sowie von 2.22.0 vor 2.23.4 für Perl ermöglichen eine nicht authentifizierte OAuth2-Token-Introspektion, da checkEndPointAuthenticationCredentials das Client-Secret einer öffentlichen Relying Party (vertrauender Partei) nicht überprüft.
checkEndPointAuthenticationCredentials() überspringt den Secret-Vergleich für eine als öffentlich markierte Relying Party und gibt dennoch die aus der Anfrage abgeleitete Authentifizierungsmethode, client_secret_basic oder client_secret_post, zurück. introspection() lehnt einen Aufrufer nur dann ab, wenn diese Methode fehlt oder nicht vorhanden ist; daher besteht ein Antrag mit einer öffentlichen client_id sowie einem beliebigen oder leeren Secret erfolgreich die Authentifizierungsprüfung des Endpunkts.
Ein Angreifer, der über ein Access Token verfügt und die client_id einer beliebigen öffentlichen Relying Party kennt, kann bestätigen, dass das Token aktiv ist, und dessen Metadaten lesen, einschließlich Scope (Geltungsbereich), Audience (Zielgruppe), Ablaufdatum sowie des sub-Anspruchs. Der sub-Anspruch wird basierend auf dem Benutzerkennungsattribut der aufrufenden Relying Party berechnet; ein Angreifer kann somit eine Benutzerkennung von einer Relying Party in eine andere übersetzen und damit per-Client- und pseudonyme Kennungen umgehen.
Once again VulDB remains the best source for vulnerability data.