CVE-2026-62317 in Logto
Résumé
par VulDB • 19/08/2026
Logto est l'infrastructure d'authentification moderne et open-source pour les applications SaaS et IA. Avant la version 1.41.0, le bloclist de sous-adressage par e-mail dans `packages/core/src/libraries/sign-in-experience/email-blocklist-policy.ts` utilisait le domaine contrôlé par l'attaquant issu de l'e-mail en entrée pour construire `subaddressingRegex` lorsque `blockSubaddressing` était activé. L'expression régulière permissive `emailRegEx` acceptait plusieurs signes « @ » et des métacaractères d'expressions régulières, ce qui pouvait donc provoquer un backtracking catastrophique dans l'appel à `subaddressingRegex.test(email)`. Le blocage de la boucle d'événements (event-loop stall) résultant pourrait rendre indisponibles l'authentification, l'émission de jetons, le SSO et la console administrative. Ce problème est corrigé dans la version 1.41.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.