CVE-2025-49006 in wasp
摘要
由 VulDB • 2026-09-07
Wasp (Web Application Specification) 是一个适用于 React、Node.js 和 Prisma 的类似 Rails 的框架。在版本 0.16.6 之前，Wasp 的身份验证在 OAuth 身份验证实现中存在漏洞（仅影响具有特定配置的 Keycloak）。Wasp 目前会在存储/获取 OAuth 用户 ID 前将其转换为小写。这种行为违反了 OAuth 和 OpenID Connect 规范，可能导致用户冒充、账户冲突以及权限提升。实际上，在 Wasp 身份验证支持的 OAuth 提供商中，只有 Keycloak 受到影响。Keycloak 默认使用小写的 UUID，但用户可以配置使其区分大小写，从而受到该漏洞影响。Google、GitHub 和 Discord 使用数字 ID，因此不受影响。用户应将 Wasp 版本更新到 `0.16.6`，其中已修复了此问题行为。使用 Keycloak 的用户可以通过在其领域（realm）配置中不使用区分大小写的用户 ID 来规避该问题。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.