Veille CVE

‹ Retour à la liste

CVE-2026-54431

5.1 Moyenne

Publiée le 02/07/2026 à 13:16 · Modifiée le 02/07/2026 à 19:43 · Analyse NVD reportée · Source : cvd@cert.pl

Description

In liboauth2 the Demonstrating Proof-of-Possession (DPoP) verifier accepts a proof whose JSON Web Key (jwk) header contains private key material. RFC 9449 section 4.3 step 7 requires the verifier to reject such a proof but oauth2_token_verify() function returns success for a malformed DPoP proof that embeds the private Elliptic Curve (EC) key in the header. This issue was fixed in version 2.3.0

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 5.1 Moyenne cvd@cert.pl CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Faiblesses (CWE)

Références

Ailleurs