CVE-2026-16615
Publiée le 2026-07-22 · Dernière modification le 2026-09-01
Les logiciels utilisant la bibliothèque `librest` pour l'autorisation OAuth sont affectés par une faille dans la manière dont ils génèrent les jetons de sécurité. Un attaquant peut prédire ces jetons pour usurper l'identité d'un utilisateur légitime et obtenir un accès non autorisé à son compte. Cela nécessite un accès réseau ainsi qu'une certaine interaction de la part de l'utilisateur, bien que la complexité technique de la reconstruction des jetons rende l'exécution difficile.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in librest. The PKCE implementation for OAuth authorization uses the GRand function from the GLib API, a cryptographically insecure pseudo-random number generator. Because the generated "code verifier" lacks sufficient cryptographic entropy, a malicious actor can reverse-engineer the pseudo-random number generator (PRNG) seed to predict or reconstruct the code verifier string, allowing an attacker to bypass PKCE protections and successfully impersonate the client during the OAuth 2.0 authorization flow.