CVE-2026-59358

Resumen

Autenticación incorrecta (CWE-287) en el endpoint de token OAuth en Cloud Foundry UAA permite a un atacante remoto y autenticado que posee un token de acceso de usuario válido obtener un token client_credentials con privilegios completos para el cliente OAuth que lo emitió, presentando el token de usuario como una credencial Bearer de OAuth 2.0 en una solicitud de concesión client_credentials en lugar del secreto configurado del cliente. El manejo de client_credentials de UAA no verifica que la credencial Bearer proporcionada para la autenticación del cliente sea realmente una credencial de cliente (un secreto de cliente o un método de autenticación de cliente válido configurado); acepta cualquier token de acceso válido cuyo client_id coincida con la solicitud. Un token obtenido por un usuario final normal a través de un flujo público de authorization_code + PKCE — con alcance únicamente a uaa.user, que lleva un user_id y registra client_auth_method=none — satisface esta comprobación. Ese token de usuario no puede por sí mismo administrar clientes OAuth (POST /oauth/clients devuelve correctamente 403), pero cuando se reutiliza como autenticación Bearer en una solicitud client_credentials para el mismo cliente, UAA emite un nuevo token solo de cliente que lleva todas las autoridades del cliente, como clients.write. Un atacante puede usar ese token para crear clientes OAuth nuevos arbitrarios, incluidos clientes con autoridades elegidas por el atacante, sin poseer nunca el secreto real del cliente. La explotación requiere un token de acceso de usuario válido (el del propio atacante) para un cliente que esté configurado para admitir tanto un flujo de autorización público orientado al usuario como el tipo de concesión client_credentials en el mismo client_id — una combinación no predeterminada. El impacto práctico escala con las autoridades asignadas a ese cliente.

Fuentes

• CVE-2026-59358PoC

  Laboratorio de prueba de concepto y cliente de exploit para CVE-2026-59358, que demuestra la reutilización en Cloud Foundry UAA de un token PKCE de usuario como Bearer de client_credentials para acuñar tokens de cliente privilegiados.