Veille sécuritéBackend & données
P3Élevée
Dans le flux `client_credentials` de Pocket ID, la valeur `resource` fournie par le client pouvait être placée dans l’audience (`aud`) du jeton sans vérifier qu’elle était autorisée. Un client OIDC authentifié pouvait donc demander un jeton signé destiné à une audience arbitraire ; mettre à niveau vers la version corrigée et vérifier les jetons émis avant le correctif.
Go
IdentifiantCVE-2026-62662
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.0.0-20260622164202-8158452b3730
Analyse technique
Le paramètre `resource` est utilisé comme audience du jeton sans validation de l’audience ni autorisation propre au client demandeur.
Impact, versions et correctif
Événement datéAvis publié le 2026-11-09 à 21:17:04Z, soit dans la période demandée (qui se termine le 2026-11-09 à 22:00Z).
ImpactUn client authentifié peut obtenir un jeton dont l’audience ne lui a pas été autorisée, compromettant les contrôles d’accès fondés sur l’audience.
Versions affectées< 0.0.0-20260622164202-8158452b3730
Version corrigée0.0.0-20260622164202-8158452b3730
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.7
EPSS0,27% · percentile 18,6%
Publication2026-11-09T21:17:04Z
Mise à jour2026-11-09T21:17:04Z
Action recommandée
Mettre à niveau vers la version corrigée et examiner les jetons et accès interservices concernés.
Sources
Priorisation DFS : P3 · 1 source(s).