CVE-2026-62317
Publiée le 2026-08-19 · Dernière modification le 2026-08-21
Les versions de Logto antérieures à la 1.41.0 sont vulnérables à une attaque par déni de service, dans laquelle une adresse e-mail spécialement conçue peut faire planter la boucle d'événements du système. Un attaquant distant non authentifié peut déclencher cela en envoyant une requête malveillante au point de terminaison du code de vérification, gelant ainsi l'authentification, le SSO et la console d'administration pour tous les utilisateurs. Comme cela ne nécessite ni identifiants ni interaction de l'utilisateur, l'attaque est relativement facile à exécuter via un réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Logto is the modern, open-source auth infrastructure for SaaS and AI apps. Prior to 1.41.0, Logto's email subaddressing blocklist in packages/core/src/libraries/sign-in-experience/email-blocklist-policy.ts used the attacker-controlled domain from email input to construct subaddressingRegex when blockSubaddressing was enabled. The permissive emailRegEx accepted multiple at signs and regular expression metacharacters, and POST /api/experience/verification/verification-code could therefore cause catastrophic backtracking in subaddressingRegex.test(email). The resulting event-loop stall could make authentication, token issuance, SSO, and the administrative console unavailable. This issue is fixed in version 1.41.0.