6.9
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
pac4j-oidc before 6.5.6 accepts OIDC callbacks carrying only an access token without authorization code or ID token validation. Attackers can substitute access tokens minted for other clients to create authenticated sessions without proper issuer, audience, nonce, or subject verification.
Засегнати продукти
- pac4j pac4j: преди 6.5.6
Вид слабост
История
- 29 август 2026 Публикувано
Други уязвимости в pac4j pac4j
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-82462
- https://nvd.nist.gov/vuln/detail/CVE-2026-82462
- https://github.com/pac4j/pac4j/commit/2270c3ff70e93cc43831e75702acd5135531237e
- https://www.pac4j.org/blog/security-advisory-pac4j-core-oidc-saml.html
- https://github.com/pac4j/pac4j/blob/pac4j-parent-6.5.5/pac4j-oidc/src/main/java/org/pac4j/oidc/credentials/extractor/OidcCredentialsExtractor.java
- https://github.com/pac4j/pac4j
- https://www.vulncheck.com/advisories/pac4j-oidc-before-6.5.6-authentication-bypass-via-access-token-substitution