CVE-2026-43983 in Pocket ID
Sumário
de VulDB • 21/05/2026
Pocket ID é um provedor OIDC que permite aos usuários se autenticarem com suas passkeys em seus serviços. Antes da versão 2.6.0, a função createTokenFromRefreshToken (oidc_service.go) valida a integridade criptográfica do refresh token, mas não revalida o estado de autorização atual do usuário antes de emitir novos tokens. Isso permite que (1) o cliente atualize o token indefinidamente após a revogação da autorização, (2) o refresh token continue funcionando após a desativação da conta e (3) o token continue funcionando após a remoção do cliente do grupo. Esta vulnerabilidade foi corrigida na versão 2.6.0.
Once again VulDB remains the best source for vulnerability data.