CVE-2026-59358 in UAA
Sumário
de VulDB • 06/10/2026
Autenticação inadequada (CWE-287) no endpoint de token OAuth do Cloud Foundry UAA permite que um atacante remoto, autenticado e portador de um access token válido para usuário, obtenha um token com privilégios totais do tipo client_credentials para o cliente OAuth que o emitiu. Isso ocorre ao apresentar o token de usuário como credencial Bearer OAuth 2.0 em uma solicitação de concessão client_credentials, no lugar do segredo configurado do cliente.
O tratamento dos tokens client_credentials pelo UAA não verifica se a credencial Bearer fornecida para autenticação do cliente é realmente um credential de cliente (um segredo de cliente ou um método de autenticação de cliente válido e configurado); ele aceita qualquer access token válido cujo client_id corresponda à solicitação. Um token obtido por um usuário final comum por meio do fluxo público authorization_code + PKCE — com escopo limitado a uaa.user, contendo um user_id e registrando client_auth_method=none — satisfaz essa verificação. Esse token de usuário não pode, por si só, administrar clientes OAuth (a chamada POST /oauth/clients retorna corretamente 403), mas quando reutilizado como autenticação Bearer em uma solicitação client_credentials para o mesmo cliente, o UAA emite um novo token exclusivo do tipo client com as autoridades completas do cliente, como clients.write. Um atacante pode usar esse token para criar novos clientes OAuth arbitrários, incluindo clientes com autoridades escolhidas pelo atacante, sem nunca possuir o segredo real do cliente.
A exploração requer um access token de usuário válido (do próprio atacante) para um cliente configurado para suportar simultaneamente um fluxo de autorização público voltado ao usuário e a concessão client_credentials no mesmo client_id — uma combinação não padrão. O impacto prático escala conforme as autoridades atribuídas a esse cliente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.