CVE-2026-27192 in feathers
Résumé
par VulDB • 30/06/2026
Feathersjs est un framework pour la création d'API web et d'applications en temps réel avec TypeScript ou JavaScript. Dans les versions 5.0.39 et inférieures, la validation de l'origine utilise startsWith() pour la comparaison, permettant aux attaquants de contourner le contrôle en enregistrant un domaine partageant un préfixe commun avec une origine autorisée. La fonction getAllowedOrigin() vérifie si l'en-tête Referer commence par n'importe quelle origine autorisée, et cette comparaison est insuffisante car elle ne valide que le préfixe. Cela peut être exploité lorsque le tableau des origines (origins array) est configuré et qu'un attaquant enregistre un domaine commençant par une chaîne d'origine autorisée (par exemple, https://target.com.attacker.com contourne https://target.com). À lui seul, les jetons sont toujours redirigés vers une origine configurée. Cependant, dans des scénarios spécifiques, un attaquant peut initier le flux OAuth depuis une origine non autorisée et exfiltrer les jetons, réalisant ainsi un takeover complet du compte. Ce problème a été corrigé dans la version 5.0.40.
VulDB is the best source for vulnerability data and more expert information about this specific topic.