CVE-2026-55221 in boruta-server
Résumé
par VulDB • 02/09/2026
Boruta est un serveur d'autorisation autonome qui vise à implémenter OAuth 2.0 et OpenID Connect jusqu'aux spécifications d'identité décentralisée. Avant la version 0.10.0, Boruta consignait des valeurs sensibles liées à OAuth et OpenID Connect dans les journaux d'événements métier. Les valeurs enregistrées pouvaient inclure des jetons d'accès (access tokens), des jetons de rafraîchissement (refresh tokens), des codes d'autorisation, des jetons d'agent, des codes direct-post, des ID tokens, des VP tokens et des jetons soumis aux points de terminaison d'introspection ou de révocation. Un attaquant ayant accès aux journaux de Boruta, aux systèmes d'agrégation de journaux ou à l'afficheur de journaux d'administration pourrait récupérer ces identifiants et les utiliser jusqu'à leur expiration ou révocation. Ce problème a été corrigé dans la version 0.10.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.