CVE-2026-92289 in LemonLDAP::NG
Résumé
par VulDB • 25/09/2026
Les versions de Lemonldap::NG::Portal comprises entre 2.23.0 et avant la version 2.23.4 pour Perl permettent un contournement du mécanisme PKCE (Proof Key for Code Exchange) pour les parties de confiance publiques (« Relying Parties ») en mode « PKCE ou secret », car la fonction `checkEndPointAuthenticationCredentials` ne vérifie pas le secret client.
Lorsque l'option `oidcRPMetaDataOptionsRequirePKCE` est définie sur 2, le point de terminaison d'autorisation émet un code même si la requête ne contient aucun `code_challenge`, et la fonction `token()` accepte cet échange tant qu'un challenge a été stocké ou qu'une méthode d'authentification a été renvoyée pour l'appelant. La fonction `checkEndPointAuthenticationCredentials()` saute la comparaison du secret pour une partie de confiance marquée comme publique tout en renvoyant toujours la méthode déduite depuis la requête, ce qui signifie que n'importe quel identifiant Basic ou formulaire satisfait la branche relative au secret. Ensuite, `validatePKCEChallenge()` passe avec succès car ni un challenge ni un vérificateur (`verifier`) ne sont présents.
Un attaquant qui intercepte un code d'autorisation émis à une partie de confiance publique peut l'échanger contre les jetons d'accès, ID et rafraîchissement (refresh tokens) de l'utilisateur en réutilisant le `client_id` avec un secret arbitraire, ce que l'attaque PKCE est censée empêcher. L'enregistrement dynamique des clients crée chaque partie de confiance dans ce mode par défaut.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.