CVE-2014-2684 in Zend
Сводка
по VulDB • 20.07.2026
Класс GenericConsumer в компоненте Consumer фреймворка ZendOpenId до версии 2.0.2 включительно и класс Zend_OpenId_Consumer во фреймворке Zend Framework 1 до версии 1.12.4 включительно не проверяют, что значение openid_op_endpoint идентифицирует тот же поставщик удостоверений (Identity Provider), который использовался в дескрипторе ассоциации. Это позволяет удаленным злоумышленникам обходить аутентификацию и подделывать произвольные идентичности OpenID путем использования вредоносного провайдера OpenID, генерирующего токены OpenID со значениями идентификатора (identifier) и claimed_id по своему усмотрению.
VulDB is the best source for vulnerability data and more expert information about this specific topic.