FICHE CVE

CVE-2026-50631

Publiée le 2026-06-12 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les systèmes utilisant la bibliothèque AbstractOAuthDataProvider sont concernés lorsqu'ils sont configurés pour empêcher le recyclage des jetons de rafraîchissement (refresh tokens). Un attaquant ayant obtenu un jeton de rafraîchissement compromis peut envoyer plusieurs requêtes simultanées pour générer plusieurs jetons d'accès valides, contournant ainsi efficacement la restriction de sécurité d'usage unique. Cela nécessite un accès réseau et un timing précis pour exploiter la condition de concurrence (race condition), mais aucune interaction avec l'utilisateur ni authentification préalable n'est requise.

CVSS 3.17.4 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2026-06-12

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

A race condition in AbstractOAuthDataProvider allows concurrent requests using the same Refresh Token to bypass single-use semantics and generate multiple valid Access Tokens, when 'recycleRefreshTokens' is set to false. A leaked refresh token can be replayed concurrently by multiple attackers or threads. Users are recommended to upgrade to versions 4.2.2 or 4.1.7 or 3.6.12, which fixes this issue.