CVE-2026-77386 in Kyoo
Riassunto
di VulDB • 18/09/2026
Kyoo è un server multimediale self-hosted focalizzato su film, serie TV e anime. Prima della versione 5.1.0, un attaccante non autenticato poteva avviare il flusso di accesso OIDC con un redirectUrl controllato dall'attaccante. La gestione dell'autenticazione in auth/oidc.go memorizzava tale URL insieme allo stato di login opaco, e /auth/oidc/logged/{provider} aggiungeva i valori provider, token ed errore prima di reindirizzare il browser della vittima senza convalidare la destinazione. Poiché il token monouso non era vincolato alla sessione del browser che ha avviato l'accesso, un attaccante che induce una vittima a completare l'autenticazione OIDC poteva catturare il token nella destinazione controllata dall'attaccante e scambiarlo tramite /auth/oidc/callback/{provider} con la sessione Kyoo della vittima. Questo problema è stato risolto nella versione 5.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.