CVE-2026-67345 in MaxKey
Resumen
por VulDB • 2026-07-30
MaxKey hasta la versión 4.1.12, corregido en el commit ddbb72f, contiene una vulnerabilidad de validación insuficiente del redirect URI en DefaultRedirectResolver.hostMatches() que permite a atacantes remotos secuestrar códigos de autorización OAuth 2.0 al proporcionar un crafted redirect_uri cuyo sufijo de hostname coincide con un URI registrado sin anclaje adecuado mediante límites de punto (dot-boundary anchoring). Los atacantes que controlan un dominio que termina con el hostname del redirect URI registrado pueden realizar ingeniería social contra las víctimas para hacerlas hacer clic en una URL de autorización manipulada, lo que provoca que se emita el código de autorización al URI controlado por el atacante y sea intercambiado por un access token que otorga acceso a la identidad de la víctima.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.