CVE-2026-117656
Unverified Sign in with Apple callback parameter can override verified ID token claims
CVSS 3.1Medium
9.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновить библиотеку pow-auth/assent до версии 0.3.2 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Небезопасное слияние данных в стратегии Sign in with Apple библиотеки Assent позволяет перезаписывать доверенные клеймы ID token значениями из непроверенного параметра запроса. Это приводит к подмене идентификатора пользователя и захвату чужих аккаунтов.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В Assent.Strategy.Apple.callback/2 декодированный клиентский form-параметр user накладывается поверх проверенных клеймов валидированного JWT без контроля приоритета источников данных.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Удаленный злоумышленник может внедрить произвольные значения sub и email, аутентифицироваться под видом произвольного пользователя и получить полный несанкционированный доступ к его данным.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/pow-auth/assent/security/advisories/GHSA-9fr5-g44g-9526
- cna.erlef.orghttps://cna.erlef.org/cves/CVE-2026-117656.html
- osv.devhttps://osv.dev/vulnerability/EEF-CVE-2026-117656
- github.comhttps://github.com/pow-auth/assent/commit/a2d331e8c51376d6c0b04a81aad31e0b4d4d64a3
- github.comhttps://github.com/pow-auth/assent/commit/18898bde0296152165ae470078490e5798329b1b
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-117656: Unverified Sign in with Apple callback parameter can override verified ID token claims. URL: https://cve.futuretools.ru/cve/CVE-2026-117656
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_117656,
title = {{CVE-2026-117656: Unverified Sign in with Apple callback parameter can override verified ID token claims}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-117656}},
note = {Оперативный инженерный анализ киберугроз}
}