Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-20
  • CWE-863

CVE-2026-62662

Pocket ID: İstemci kimlik bilgileri akışında keyfi hedef kitle (aud) token üretimi

pocket-id

Yüksek 7,7 CVSS 3.0
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, kimlik doğrulama sisteminizde bir istemcinin diğer hizmetler adına yetki almasına izin verebilir. Hizmetleriniz bu token'lara güveniyorsa, yetkisiz erişim riski oluşur ve güncelleme önceliklidir. Bu tür token'larla hizmet içi yetkilendirme yapmıyorsanız anlık bir etki beklenmemektedir.

ÖzetTürkçe

Pocket ID, kullanıcıların hizmetlere geçiş anahtarlarıyla (passkey) kimlik doğrulaması yapmasını sağlayan bir OIDC sağlayıcısıdır. 1.11.0 ile 2.10.0 arasındaki sürümlerde, istemci kimlik bilgileri (client credentials) akışı, istemcinin gönderdiği resource parametresini doğrulamadan erişim token'ının aud alanına yazmaktadır. Bu nedenle kimlik doğrulaması yapılmış her OIDC istemcisi, başka bir istemci veya keyfi bir hedef kitle için Pocket ID imzalı token alabilir.

Saldırgan ne yapabilir?

Saldırgan, hedef kitle kontrolü yapan kaynak sunucularında yetkisiz veri erişimine veya işlem yapılmasına yol açabilecek bir token elde edebilir.

Kaynaktaki açıklama (İngilizce)

Pocket ID is an OIDC provider that allows users to authenticate with their passkeys to services. From 1.11.0 until 2.10.0, createTokenFromClientCredentials in backend/internal/service/oidc_service.go accepts the client-controlled resource parameter and embeds it directly in the access token aud claim without validating that the audience is registered or that the requesting client may access it. Any authenticated OIDC client can therefore obtain a Pocket ID-signed token naming another client or an arbitrary audience. The /api/oidc/introspect endpoint cannot distinguish the unauthorized token because it treats a token as active when the introspecting client's identifier matches the attacker-selected audience. In deployments where resource servers trust Pocket ID access tokens for service-to-service authorization, this bypasses audience-based access controls and can permit unauthorized data access or actions; deployments that do not use these tokens for resource-server authorization have no immediate exploitable impact. This issue is fixed in version 2.10.0.

Ne yapmalı?

  1. Pocket ID'yi 2.10.0 veya üzeri bir sürüme yükseltin. Genel öneri
  2. Yükseltmeden önce, kaynak sunucuların bu token'lara hedef kitle (aud) kontrolü olmadan güvenip güvenmediğini inceleyin ve bu kontrolleri sıkılaştırın. Genel öneri
  3. Yükseltmeden önce, kayıtlı olmayan istemcilerin ve gereksiz OIDC istemci kayıtlarının kaldırılmasını değerlendirin. Genel öneri

Ek önlemler

  • Kaynak sunucularda token'ın aud, iss ve kapsam (scope) alanlarını her istekte açıkça doğrulayın. Genel öneri
  • Beklenmeyen istemci kimlik bilgisi akışı isteklerini ve olağan dışı hedef kitle değerlerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
pocket-id Sürüm belirtilmemiş –

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.