Veille CVE

‹ Retour à la liste

CVE-2026-9094

9.8 Critique

Publiée le 28/05/2026 à 19:16 · Modifiée le 17/06/2026 à 13:04 · Analyse NVD reportée · Source : cret@cert.org

Description

Casdoor versions 2.362.0 and earlier contain a vulnerability enabling cross-organization token exchange. The GetTokenExchangeToken function in object/token_oauth.go validates JWT signatures but does not verify that the token's user belongs to the same organization as the target application. This can result in privilege escalation across organizational boundaries.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
3.1 9.8 Critique 134c704f-9b21-4f2e-91b3-4a467353bcc0 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Références

Ailleurs