CVE-2026-92288 in Lemonldap::NG
요약
\~에 의해 VulDB • 2026. 09. 25.
Lemonldap::NG::Portal의 2.20.0 이상 2.21.6 미만 버전 및 2.22.0 이상 2.23.4 미만 Perl 버전은 public Relying Party의 client secret을 검증하지 않는 checkEndPointAuthenticationCredentials 함수로 인해 인증되지 않은 OAuth2 token introspection이 가능합니다.
checkEndPointAuthenticationCredentials()는 public으로 표시된 Relying Party에 대해 secret 비교를 건너뛰고, 요청에서 추론된 authentication method인 client_secret_basic 또는 client_secret_post를 여전히 반환합니다. introspection() 메서드는 해당 방법이 누락되었거나 none일 경우에만 호출자를 거부하므로, public client_id와 임의의(secret) 또는 빈 secret을 포함하는 요청은 엔드포인트의 인증 검사를 통과합니다.
액세스 토큰을 보유하고 있고 모든 public Relying Party의 client_id를 아는 공격자는 해당 토큰이 활성 상태인지 확인하고 scope, audience, expiry 및 sub claim을 포함한 메타데이터를 읽을 수 있습니다. sub claim은 호출 중인 Relying Party의 user identifier attribute로 계산되므로, 공격자는 한 Relying Party의 사용자 식별자를 다른 Relying Party로 변환하여 per-client 및 pseudonymous identifiers를 무력화할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.