Veille sécuritéBackend & données
P4Non déterminée
Le client Management API du SDK Auth0 pour Node.js ne neutralise pas correctement certains paramètres de chemin. Une requête et son jeton d’accès peuvent ainsi être redirigés vers un autre endpoint du même tenant, donnant accès aux données ou opérations déjà autorisées par les portées du jeton.
Node.js
IdentifiantCVE-2026-126128
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-126128
Analyse technique
Le jeton Management API joint à la requête peut être envoyé à un endpoint inattendu sur le même tenant à cause du traitement inadéquat des paramètres de chemin. Les versions affectées et le correctif ne sont pas précisés dans les éléments fournis.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période figée, le 2026-11-10 à 21:19:27Z.
ImpactAccès non intentionnel à des données ou opérations permises par les portées du jeton Management API.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-10T21:19:27.440Z
Mise à jour2026-11-10T22:17:44.923Z
Sources
Priorisation DFS : P4 · 1 source(s).