CVE-2026-82454
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.2%
- CWE
- CWE-347
- KEV Durumu
- Hayır
Yayım tarihi: 29 Ağustos 2026
Omnivore API (packages/api) düzeltmenin commit abf53d6'da yapıldığı sürümlerden önce, Apple oturum açma token doğrulamasında bir kimlik doğrulama atlatma içerir. decodeAppleToken işlevi, saldırgan tarafından sağlanan JWT başlığından 'alg' alanını çıkarır ve bunu jwt.verify()'ye izin verilen tek algoritma olarak geçirir. jsonwebtoken v8 (anahtar/algoritma uyumluluğunu doğrulamayan) kullanılarak, bir saldırgan alg=HS256 ayarlayabilir ve Apple'ın halka açık RSA genel anahtarını HMAC gizli anahtarı olarak kullanarak sahte bir token imzalayabilir, böylece imza doğrulamasını atlatarak herhangi bir Apple ile bağlantılı hesabı taklit edebilir.
Orijinal açıklama (İngilizce)
The Omnivore API (packages/api) before the fix in commit abf53d6 contains an authentication bypass in Apple sign-in token verification. The decodeAppleToken function extracted the 'alg' field from the attacker-supplied JWT header and passed it as the sole allowed algorithm to jwt.verify(). Using jsonwebtoken v8 (which does not validate key/algorithm compatibility), an attacker can set alg=HS256 and sign a forged token using Apple's publicly available RSA public key as the HMAC secret, bypassing signature verification and impersonating any Apple-linked account.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.