Vulnérabilité dans github.com/pocket-id/pocket-id/backend (CVE-2026-43983)
Résumé
Vulnérabilité dans github.com/pocket-id/pocket-id/backend (CVE-2026-43983). Des informations confidentielles peuvent être exposées. Exploitable via createTokenFromRefreshToken. Atténuation : mise à jour vers 0.0.0-20260419162744-978ac87deffe ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
OIDC Refresh Token Flow Bypasses Authorization Revocation, Account Disabling, and Group Restrictions
Summary
The createTokenFromRefreshToken function (oidc_service.go:451) validates the refresh token's cryptographic integrity but does not re-validate the user's current authorization state before issuing new tokens. This allows three bypasses:
-
Authorization revocation bypass: After a user revokes an OIDC client's authorization, the client can continue refreshing tokens indefinitely because
RevokeAuthorizedClientdoes not delete associated refresh tokens, and the refresh flow does not check if the authorization record still exists. -
Disabled user bypass: After an admin disables a user account, pre-existing refresh tokens continue to work because the OIDC token endpoint does not check
user.Disabled. Session-based access is properly blocked by auth middleware, but the OIDC refresh path bypasses it entirely. -
Group restriction bypass: After removing a user from an OIDC client's allowed user groups, the refresh token continues to work because
createTokenFromRefreshTokendoes not callIsUserGroupAllowedToAuthorize.
Each refresh rotates the token with a fresh 30-day expiry, enabling perpetual access.
Target
- Repository: pocket-id/pocket-id
- Version: HEAD (626adbf), also affects v2.5.0 and all versions with refresh token support
Root Cause
createTokenFromRefreshToken (oidc_service.go:451-547) performs the following checks o…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-43983 a été découverte dans github.com/pocket-id/pocket-id/backend.
Des attaquants peuvent cibler un point d'entrée spécifique comme createTokenFromRefreshToken à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.1/10.
Action : mettez à jour github.com/pocket-id/pocket-id/backend vers 0.0.0-20260419162744-978ac87deffe ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/pocket-id/pocket-id/backend CVE-2026-43983 » sur le site de l'éditeur.
CVE-2026-43983 (github.com/pocket-id/pocket-id/backend) — CWE-285 / CVSS v3 8.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : createTokenFromRefreshToken / RevokeAuthorizedClient / user.Disabled / IsUserGroupAllowedToAuthorize
Correctif : 0.0.0-20260419162744-978ac87deffe — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-285) affecte github.com/pocket-id/pocket-id/backend. Les attaquants atteignent le code vulnérable via createTokenFromRefreshToken.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/pocket-id/pocket-id/backend. Surface d'attaque : createTokenFromRefreshToken / RevokeAuthorizedClient / user.Disabled / IsUserGroupAllowedToAuthorize.
Gravité : Élevée (CVSS 8.1/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 0.0.0-20260419162744-978ac87deffe.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/pocket-id/pocket-id/backend' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/pocket-id/pocket-id/backendを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade github.com/pocket-id/pocket-id/backend to 0.0.0-20260419162744-978ac87deffeステージング環境で 0.0.0-20260419162744-978ac87deffe に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com