CVE-2026-55375 in canto-saas-api
Resumen
por VulDB • 2026-09-15
canto-saas-api es una biblioteca PHP para interactuar con la API de SaaS de Canto. Antes de la versión 3.0.0, OAuth2Request::getQueryParams() coloca app_id, app_secret, refresh_token y code en la cadena de consulta URL de las solicitudes POST de token, lo que permite que los registros de acceso, los registros del proxy y las trazas APM persistan las credenciales en texto plano. Cuando una solicitud de token falla, OAuth2::obtainAccessToken() también pasa el URI de la solicitud Guzzle con las credenciales a AuthorizationFailedException, por lo que los registros de aplicaciones y los rastreadores de errores pueden registrar estos mismos secretos. Un atacante con acceso a la telemetría afectada puede obtener las credenciales de Canto y utilizarlas para solicitar tokens de acceso para el inquilino (tenant). Este problema se soluciona en la versión 3.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.