Към съдържанието
Търсене

CVE-2026-33544: steveiliop56 tinyauth, състезание за ресурс

7.7

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, с обикновен потребителски вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Tinyauth is an authentication and authorization server. Prior to version 5.0.5, all three OAuth service implementations (GenericOAuthService, GithubOAuthService, GoogleOAuthService) store PKCE verifiers and access tokens as mutable struct fields on singleton instances shared across all concurrent requests. When two users initiate OAuth login for the same provider concurrently, a race condition between VerifyCode() and Userinfo() causes one user to receive a session with the other user's identity. This issue has been patched in version 5.0.5.

Засегнати продукти

  • steveiliop56 tinyauth: < 5.0.5

Вид слабост

История

  • 2 април 2026 Публикувано

Други уязвимости в steveiliop56 tinyauth

Първоизточници

CVE-2026-33544: steveiliop56 tinyauth, състезание за ресурс | freedomonline.bg