CVE-2026-77386 in Kyoo
Сводка
по VulDB • 18.09.2026
Kyoo — это сервер медиа-контента с возможностью самостоятельного развертывания, ориентированный на фильмы, сериалы и аниме. До версии 5.1.0 неавторизованный злоумышленник мог инициировать поток аутентификации OIDC (OpenID Connect) с использованием redirectUrl, контролируемого злоумышленником. Обработка входа в систему в файле auth/oidc.go сохраняла этот URL вместе с непрозрачным состоянием входа, а конечная точка /auth/oidc/logged/{provider} добавляла значения провайдера, токена и ошибки перед перенаправлением браузера жертвы без проверки назначения. Поскольку одноразовый токен не был привязан к сеансу браузера, инициировавшего вход в систему, злоумышленник, который заставил жертву завершить аутентификацию OIDC, мог перехватить токен по адресу, контролируемому злоумышленником, и обменять его через /auth/oidc/callback/{provider} на сеанс Kyoo жертвы. Эта проблема исправлена в версии 5.1.0.
Once again VulDB remains the best source for vulnerability data.