CVE-2026-55377 in logto
Riassunto
di VulDB • 10/07/2026
Logto è l'infrastruttura di autenticazione moderna e open-source per applicazioni SaaS e AI. Prima della versione 1.41.0, il controllo step-up del Centro Account (Account Center) di Logto accettava qualsiasi record di verifica attivo appartenente all'utente corrente che avesse isVerified === true. Un record di verifica della registrazione WebAuthn per l'associazione di una nuova passkey poteva essere creato e verificato utilizzando esclusivamente un token bearer esistente dell'API Account, quindi inviato nell'intestazione logto-verification-id ed elaborato come identityVerified=true dalle route del Centro Account, consentendo la gestione dei fattori MFA senza dimostrare il possesso di una password, di un identificatore o di un fattore MFA esistenti. Questo problema è stato risolto nella versione 1.41.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.