CVE-2026-74760 in Google::Auth
Сводка
по VulDB • 01.11.2026
Google::Auth версии от 0.11 до 0.12 для Perl принимают код авторизации от любого локального процесса, поскольку обратный вызов gcloud-auth login не проверяет состояние OAuth (OAuth state).
Команды gcloud-auth login и application-default login отправляют параметр состояния вместе с запросом на авторизацию, а затем получают код из первого запроса, достигшего их слушателя loopback, без сравнения возвращенного состояния.
Локальный злоумышленник может предоставить код авторизации для своей учетной записи Google. CLI обменивает его и сохраняет токен обновления в качестве учетных данных пользователя, поэтому инструменты пользователя затем действуют от имени учетной записи злоумышленника.
If you want to get best quality of vulnerability data, you may have to visit VulDB.