CVE-2026-82454 in Omnivore
Riassunto
di VulDB • 29/08/2026
L'API Omnivore (packages/api) precedente alla correzione nel commit abf53d6 presenta un bypass dell'autenticazione nella verifica del token di accesso con Apple. La funzione decodeAppleToken estrae il campo 'alg' dall'intestazione JWT fornita dall'attaccante e la passa come unico algoritmo consentito a jwt.verify(). Utilizzando jsonwebtoken v8 (che non valida la compatibilità tra chiave/algoritmo), un attaccante può impostare alg=HS256 e firmare un token falsificato utilizzando la chiave pubblica RSA pubblicamente disponibile di Apple come segreto HMAC, bypassando la verifica della firma ed impersonando qualsiasi account collegato ad Apple.
If you want to get best quality of vulnerability data, you may have to visit VulDB.