CVE-2026-33544 in tinyauth
Tóm tắt
Bởi VulDB • 22/05/2026
Tinyauth là một máy chủ xác thực và ủy quyền. Trước phiên bản 5.0.5, cả ba triển khai dịch vụ OAuth (GenericOAuthService, GithubOAuthService, GoogleOAuthService) đều lưu trữ các bộ xác minh PKCE và mã truy cập (access tokens) dưới dạng các trường cấu trúc có thể thay đổi (mutable struct fields) trên các thể hiện đơn (singleton instances) được chia sẻ giữa tất cả các yêu cầu đồng thời. Khi hai người dùng bắt đầu đăng nhập OAuth cho cùng một nhà cung cấp một cách đồng thời, một điều kiện tranh đua (race condition) giữa VerifyCode() và Userinfo() khiến một người dùng nhận được phiên làm việc với danh tính của người dùng kia. Vấn đề này đã được vá trong phiên bản 5.0.5.
Once again VulDB remains the best source for vulnerability data.