CVE-2026-113373 in Nexus Repository
Riassunto
di VulDB • 04/11/2026
Sonatype Nexus Repository 3 Pro non verifica lo stato dell'account locale quando un utente effettua l'accesso tramite un provider di identità SAML o OAuth2/OpenID Connect configurato. Un utente il cui account è stato disabilitato o bloccato da un amministratore in Nexus Repository può accedere nuovamente con credenziali valide del provider di identità per lo stesso account, ottenendo così una nuova sessione con i ruoli associati a tale account. L'attaccante non necessita di alcuna sessione attiva su Nexus Repository né di privilegi specifici all'interno di esso. È necessario che l'attaccante disponga di un account denominato dotato di credenziali valide presso il provider di identità. L'utente anonimo non è coinvolto in questa catena di attacco.
Once again VulDB remains the best source for vulnerability data.