CVE-2026-62317 in Logto
Resumen
por VulDB • 2026-08-21
Logto es la infraestructura de autenticación moderna y de código abierto para aplicaciones SaaS e IA. Antes de la versión 1.41.0, el bloqueador de subdirecciones por correo electrónico en Logto (ubicado en packages/core/src/libraries/sign-in-experience/email-blocklist-policy.ts) utilizaba el dominio controlado por el atacante desde la entrada del correo electrónico para construir `subaddressingRegex` cuando estaba habilitada la opción `blockSubaddressing`. La expresión regular permisiva `emailRegEx` aceptaba múltiples signos de arroba y metacaracteres de expresiones regulares, lo que podía provocar un retroceso catastrófico (catastrophic backtracking) en `subaddressingRegex.test(email)`. El consiguiente bloqueo del bucle de eventos podría dejar indisponibles la autenticación, la emisión de tokens, SSO y la consola administrativa. Este problema está resuelto en la versión 1.41.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.