CVE-2026-33504 in hydra
要約
〜によって VulDB • 2026年05月10日
Ory HydraはOAuth 2.0サーバーおよびOpenID Connectプロバイダーです。バージョン26.2.0より前では、Ory Hydraの`listOAuth2Clients`、`listOAuth2ConsentSessions`、および`listTrustedOAuth2JwtGrantIssuers` Admin APIは、ページネーション実装の欠陥によりSQLインジェクションの影響を受けます。ページネーショントークンは`secrets.pagination`で設定された秘密鍵を使用して暗号化されます。この値が設定されていない場合、Hydraは`secrets.system`の使用にフォールバックします。この秘密鍵を知る攻撃者は、SQLインジェクションにつながる悪意のあるトークンを含む独自のトークンを生成できます。この問題は、上記のAdmin APIのいずれかが攻撃者によって直接または間接的にアクセス可能であり、攻撃者が影響を受けるAPIに生のページネーショントークンを渡すことができ、かつ`secrets.pagination`が設定されており攻撃者がその値を知っている、または`secrets.pagination`が設定されておらず`secrets.system`が攻撃者に知られている場合に悪用されます。攻撃者は偽造されたページネーショントークンを通じて任意のSQLクエリを実行できます。最初の防御策として、暗号的に安全なランダムな秘密鍵を生成し、`secrets.pagination`のカスタム値を直ちに設定してください。次に、できるだけ早くHydraを修正バージョンの26.2.0にアップグレードしてください。
Once again VulDB remains the best source for vulnerability data.