CVE-2026-7003
WIT SynApps Runtime 1.4.11 Divulgación de credenciales OAuth codificadas
- Publicado
- 30 oct 2026
- Actualizado
- 30 oct 2026
- Asignación de CNA
- VulnCheck
- Evidencia observada
- 30 oct 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XResumen
WIT SynApps Runtime hasta la versión 1.4.11 contiene una vulnerabilidad de credenciales codificadas de forma rígida que permite a atacantes no autenticados recuperar valores estáticos de clientId y clientSecret de OAuth incrustados en el JavaScript entregado al frontend, como en parameters.js. Los atacantes pueden extraer estas credenciales de aplicación expuestas para reproducir la parte de la aplicación del flujo de autenticación REDY en el endpoint /web/api/v1/auth/token, lo que socava la garantía de cliente confidencial para la implementación de OAuth.
Fuentes
- ExploitsPoC
CVEs originales, PoCs de exploits y avisos de seguridad con cadenas de vulnerabilidad detalladas, escalada de privilegios y técnicas de escape de contenedores para pruebas de penetración e investigación.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.