CVE-2026-59357 in UAA
Sumário
de VulDB • 06/10/2026
Verificação insuficiente da autenticidade dos dados (CWE-345) no callback de login OIDC externo do Cloud Foundry UAA v4.5.0 a v79.6.0 (inclusivo) permite que um usuário UAA autenticado contorne o intercâmbio de código de autorização OAuth e estabeleça uma sessão de navegador externa-OIDC autenticada, ao submeter um token de acesso UAA ou um ID token cross-client como parâmetro id_token do callback.
O problema só se manifesta quando uma zona UAA está configurada com um provedor de identidade OIDC cujo emissor corresponde exatamente ao endpoint /oauth/token dessa mesma zona (uma configuração "self-UAA" OIDC). Nessa configuração, o callback utiliza diretamente um id_token fornecido pelo usuário, sem exigir a troca do código de autorização, e não verifica se o token foi realmente emitido como ID token para o cliente relying-party self-OIDC específico. Um atacante que possua qualquer JWT UAA válido em seu nome — incluindo um access token simples com apenas escopo uaa.user ou um ID token válido emitido para um cliente não relacionado, como cf — pode apresentá-lo como id_token do callback e ser autenticado em uma conta local mapeada ("shadow"). Como a sessão resultante não é verificada contra o público (audience) real ou user_id do token de origem, seu privilégio efetivo depende inteiramente das associações de grupo da conta shadow, que podem incluir escopos administrativos como clients.write.
A exploração requer um JWT UAA válido para o usuário, um estado de login de navegador válido na zona alvo e a presença de uma configuração de provedor OIDC auto-referencial; esta não é uma vulnerabilidade pré-autenticação e, por si só, não concede privilégios além daqueles já detidos pela conta shadow mapeada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.