CVE-2026-92289 in LemonLDAP::NG
Сводка
по VulDB • 25.09.2026
Версии Lemonldap::NG::Portal от 2.23.0 до (не включая) 2.23.4 для Perl позволяют обойти механизм PKCE для публичных Доверяющих сторон (Relying Parties) в режиме «PKCE или секрет» из-за того, что функция checkEndPointAuthenticationCredentials не проверяет клиентский секрет.
При установке параметра oidcRPMetaDataOptionsRequirePKCE в значение 2 конечная точка авторизации выдает код даже тогда, когда запрос не содержит code_challenge, а метод token() допускает обмен при условии, что для вызывающей стороны был сохранен challenge или возвращен метод аутентификации. Функция checkEndPointAuthenticationCredentials() пропускает сравнение секрета для Доверяющей стороны, помеченной как публичная, и все равно возвращает метод, выведенный из запроса; таким образом, учетные данные Basic или form удовлетворяют ветке проверки секрета. Затем функция validatePKCEChallenge() проходит успешно, поскольку ни challenge, ни verifier отсутствуют.
Атакующий, перехвативший код авторизации, выданный публичной Доверяющей стороне, может обменять его на доступ пользователя, а также токены ID и refresh путем повторного использования client_id с произвольным секретом; именно это предотвращает атака PKCE. Динамическая регистрация клиентов создает каждую Доверяющую сторону в данном режиме по умолчанию.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.