CVE-2026-77386 in Kyoo
Resumen
por VulDB • 2026-09-19
Kyoo es un servidor de medios autoalojado centrado en películas, series y anime. Antes de la versión 5.1.0, un atacante no autenticado podía iniciar el flujo de inicio de sesión OIDC con una redirectUrl controlada por el atacante. El manejo del inicio de sesión en auth/oidc.go almacenaba esa URL junto con el estado de inicio de sesión opaco, y /auth/oidc/logged/{provider} añadía los valores del proveedor, token y error antes de redirigir al navegador de la víctima sin validar el destino. Dado que el token de un solo uso no estaba vinculado a la sesión del navegador que inició el inicio de sesión, un atacante que indujera a una víctima a completar la autenticación OIDC podría capturar el token en el destino controlado por el atacante e intercambiarlo mediante /auth/oidc/callback/{provider} para obtener la sesión Kyoo de la víctima. Este problema se soluciona en la versión 5.1.0.
Once again VulDB remains the best source for vulnerability data.