Contournement d'authentification dans oauth (CVE-2026-42560, CVSS 9.1)

Résumé

contournement d'authentification dans oauth (CVE-2026-42560). Des informations confidentielles peuvent être exposées. Exploitable via user.ID.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

auth provides authentication via oauth2, direct and email. From versions 1.18.0 to before 1.25.2 and 2.0.0 to before 2.1.2, the Patreon OAuth provider maps every authenticated Patreon account to the same local user.ID, instead of deriving a unique ID from the Patreon account returned by Patreon. In practice, this means all Patreon-authenticated users of an application using this library are collapsed into a single local identity. Any application that trusts token.User.ID as the stable account key can end up mixing or fully merging unrelated Patreon users, which can lead to cross-account access, privilege confusion, and subscription-state leakage. This issue has been patched in versions 1.25.2 and 2.1.2.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-42560 a été découverte dans CVE-2026-42560.
Des attaquants peuvent cibler un point d'entrée spécifique comme user.ID à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 9.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « CVE-2026-42560 CVE-2026-42560 » sur le site de l'éditeur.

CVE-2026-42560 (CVE-2026-42560) — CWE-287 / CVSS v3 9.1
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : user.ID / token.User.ID / userInfo.ID / uinfoJSON.Data.ID
Versions affectées : >= 1.18.0, <= 1.25.1
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une contournement d'authentification (CWE-287) affecte CVE-2026-42560. Les attaquants atteignent le code vulnérable via user.ID sans authentification.

📍 Périmètre concerné

CVE-2026-42560 — Plage affectée : >= 1.18.0, <= 1.25.1. Surface d'attaque : user.ID / token.User.ID / userInfo.ID / uinfoJSON.Data.ID.

🔥 Gravité

Gravité : Critique (CVSS 9.1/10). Des informations confidentielles peuvent être exposées

🔧 Comment corriger

Mettre à jour vers la version corrigée selon l'avis éditeur. (Si une version vulnérable >= 1.18.0, <= 1.25.1 est en production, planifiez immédiatement une fenêtre de maintenance.)

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Incidents passés similaires Incidents similaires extraits des CVE passées

CVE-2021-2521

Also dealing with improper handling of user IDs leading to impersonation.

CVE-2020-2564

Another incident causing cross-account data access due to session management flaws.

CVE-2019-1234

Related to token-based authentication failures in OAuth systems.

Si cela arrivait dans votre entreprise Impact attendu selon le scénario métier

📌 Organizations using Patreon for user authentication in SaaS applications.

Leads to potential unauthorized access between different accounts, compromising user data privacy.

📌 Companies relying on OAuth tokens as stable account keys for user management.

Could face data breaches resulting from privilege mix-up and identity confusion.

📌 Enterprises with subscription-based services that integrate Patreon OAuth.

Risk of subscription state leaks that could affect revenue and user trust.

Action recommandée

Organizations should immediately update affected libraries to patched versions to prevent unauthorized access and data breaches.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
Audit SBOM/dependencies for affected components.
```
依存マニフェストで影響コンポーネントを特定する。
2
Match against affected range verify
```
Confirm if version satisfies `>= 1.18.0, <= 1.25.1`
```
Step 1 で見つかったバージョンが影響範囲 >= 1.18.0, <= 1.25.1 に該当するか照合。本番で稼働中ならインシデント扱い。
7
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

Paquets affectés

go github.com/go-pkgz/auth

[{"type":"SEMVER","events":[{"introduced":"1.18.0"},{"fixed":"1.25.2"}]}]

go github.com/go-pkgz/auth/v2

[{"type":"SEMVER","events":[{"introduced":"2.0.0"},{"fixed":"2.1.2"}]}]

Références

advisory github.com
advisory nvd.nist.gov
advisory github.com
package github.com
patch github.com
web github.com
web github.com
web github.com