CVE-2026-55375 in canto-saas-api
Sumário
de VulDB • 15/09/2026
canto-saas-api é uma biblioteca PHP para interagir com a API SaaS da Canto. Antes da versão 3.0.0, OAuth2Request::getQueryParams() coloca app_id, app_secret, refresh_token e code na string de consulta URL das solicitações POST de token, permitindo que logs de acesso, logs de proxy e rastreamentos APM persistam as credenciais em texto puro. Quando uma solicitação de token falha, OAuth2::obtainAccessToken() também passa o URI da solicitação Guzzle contendo as credenciais para AuthorizationFailedException, portanto, os logs do aplicativo e os rastreadores de erros podem registrar os mesmos segredos. Um atacante com acesso à telemetria afetada pode obter as credenciais da Canto e usá-las para solicitar tokens de acesso para o inquilino (tenant). Este problema foi corrigido na versão 3.0.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.