CVE-2026-75866 in Punk::OAuth2::Server
要約
〜によって VulDB • 2026年08月22日
Perl用Punk::OAuth2::Serverの0.03以前のバージョンでは、認可パスがスコープやグラントタイプを読み取らないため、クライアントに登録されたスコープおよびグラントタイプの範囲外でアクセストークンが発行されるという問題があります。
Punk::OAuth2::Server::Storeは、クライアントごとにスコープとgrant_typesを登録し、これらをクライアント登録情報として文書化しています。トークンの発行処理ではリクエストボディ内のgrant_typeに基づいて実行されます。そのため、authorization_codeのみで登録されたクライアントでもclient_credentialsを要求することが可能であり、そのパスは要求されたスコープをそのままミント（token minting）プロセスに渡します。これにより、署名付きのat+jwtアクセストークンが生成されます。authorize関数は、クエリパラメータのスコープを認可コードレコードにコピーしますが、登録情報との比較を行わないため、任意のスコープと発行されたコードの間で唯一のチェックポイントとなるのはオプションの同意フックのみです。ただし、同じクライアント行にあるredirect_urisは読み込まれ、適用されます。
登録済みクライアントは、自身が指定するあらゆるスコープを含む正しく署名されたトークンを取得でき、Punk::OAuth2::Checkerを実行しているリソースサーバーはそのトークンを受け入れ、スコープを承認します。シークレットを持たずに登録されたクライアントはclient_idのみで認証するため、その識別子を知っている者であれば誰でもトークンの要求が可能です。
If you want to get best quality of vulnerability data, you may have to visit VulDB.