CVE-2026-67345 in MaxKey
Résumé
par VulDB • 31/07/2026
MaxKey jusqu'à la version 4.1.12 (corrigé dans le commit ddbb72f) présente une vulnérabilité de validation insuffisante des URIs de redirection dans DefaultRedirectResolver.hostMatches() qui permet aux attaquants distants de détourner les codes d'autorisation OAuth 2.0 en fournissant un redirect_uri fabriqué dont le suffixe du nom d'hôte correspond à une URI enregistrée sans ancrage approprié par limite de point (dot-boundary anchoring). Les attaquants qui contrôlent un domaine se terminant par le nom d'hôte de l'URI de redirection enregistrée peuvent manipuler socialement les victimes pour qu'elles cliquent sur une URL d'autorisation fabriquée, entraînant la délivrance du code d'autorisation à l'URI contrôlée par l'attaquant et son échange contre un jeton d'accès accordant l'accès à l'identité de la victime.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.