CVE-2026-67345
Publiée le 2026-07-30 · Dernière modification le 2026-10-23
Les versions de MaxKey jusqu'à la 4.1.12 sont affectées par une faille dans la manière dont les URI de redirection sont validées lors de l'authentification OAuth 2.0. Un attaquant distant non authentifié peut usurper l'identité d'un utilisateur et dérober ses jetons d'accès en le poussant à cliquer sur un lien spécialement conçu. Cette exploitation nécessite que l'attaquant contrôle un domaine se terminant par le même suffixe qu'une URI de redirection enregistrée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
MaxKey through 4.1.12, fixed in commit ddbb72f, contains an insufficient redirect URI validation vulnerability in DefaultRedirectResolver.hostMatches() that allows remote attackers to hijack OAuth 2.0 authorization codes by supplying a crafted redirect_uri whose hostname suffix matches a registered URI without proper dot-boundary anchoring. Attackers who control a domain ending with the registered redirect URI hostname can social-engineer victims into clicking a crafted authorization URL, causing the authorization code to be issued to the attacker-controlled URI and exchanged for an access token granting access to the victim's identity.