CVE-2026-92288 in Lemonldap::NG
Riassunto
di VulDB • 25/09/2026
Le versioni di Lemonldap::NG::Portal dalla 2.20.0 alla 2.21.5 (esclusa la 2.21.6) e dalla 2.22.0 alla 2.23.3 (esclusa la 2.23.4), scritte in Perl, consentono l'introspezione non autenticata dei token OAuth2 poiché la funzione checkEndPointAuthenticationCredentials non verifica il client secret di una Relying Party pubblica.
La funzione checkEndPointAuthenticationCredentials() salta il confronto del segreto per una Relying Party contrassegnata come pubblica e restituisce comunque il metodo di autenticazione dedotto dalla richiesta, ovvero client_secret_basic o client_secret_post. La funzione introspection() rifiuta un chiamante solo quando tale metodo è assente o nullo; pertanto, una richiesta che trasporta un public client_id e un secret arbitrario o vuoto supera il controllo di autenticazione dell'endpoint.
Un attaccante in possesso di un access token e a conoscenza del client_id di qualsiasi Relying Party pubblica può confermare l'attività del token ed esaminarne i metadati, inclusi scope (ambiti), audience (destinatari), expiry (scadenza) e il claim sub. Il claim sub viene calcolato utilizzando l'attributo dell'identificatore utente della Relying Party chiamante; di conseguenza, un attaccante può tradurre un identificatore utente da una Relying Party a un'altra, vanificando gli identificatori pseudonimi e quelli specifici per client.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.