CVE-2026-117656

Mở trang đầy đủ

CVSS 9.3 CRITICAL Truy cập trái phép

Unverified Sign in with Apple callback parameter can override verified ID token claims

Mã khác
GHSA-9fr5-g44g-9526
Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, OSV.dev

Mô tả

Acceptance of Extraneous Untrusted Data With Trusted Data vulnerability in the Sign in with Apple strategy in pow-auth Assent allows an unauthenticated remote attacker to impersonate another user via the user parameter of the authorization callback.

Apple posts the user's name to the callback endpoint in a user form parameter that the browser submits and the client controls. Assent.Strategy.Apple.callback/2 in lib/assent/strategies/apple.ex decodes that parameter, and fetch_user/2 merges it over the claims of the verified ID token, so the unverified map wins. An attacker who completes a Sign in with Apple login with their own Apple ID and edits the user parameter can replace sub, email, and any other claim. Applications that look up, link, or authorize accounts by the returned subject or email then act on the attacker's values.

This issue affects assent: from 0.1.25 before 0.3.2.

Điểm và phân loại

CVSS
9.3 CRITICAL v4.0
Nguồn điểm
NVD
Mức độ (theo nguồn)
CRITICAL
EPSS
—

Vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Ảnh hưởng

Package Bản bị ảnh hưởng Bản đã sửa
erlang assent >= 0.1.25, < 0.3.2 0.3.2

Sản phẩm

  • pow-auth assent

Vì sao được giữ

  • CVSS 9.3 >= 8.0

Loại tác động

Truy cập trái phép
CWE-290

Dữ liệu riêng của nguồn

OSV.dev · ID
EEF-CVE-2026-117656

Tham khảo