CVE-2026-7003
WIT SynApps Runtime 1.4.11 Divulgation d'identifiants OAuth codés en dur
- Publié
- 30 oct. 2026
- Mise à jour
- 30 oct. 2026
- Attribution de CNA
- VulnCheck
- Preuve observée
- 30 oct. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XRésumé
Le runtime WIT SynApps jusqu'à la version 1.4.11 contient une vulnérabilité d'identifiants codés en dur qui permet à des attaquants non authentifiés de récupérer des valeurs statiques clientId et clientSecret OAuth intégrées dans le JavaScript livré au frontend, notamment dans parameters.js. Les attaquants peuvent extraire ces identifiants d'application exposés afin de reproduire la partie applicative du flux d'authentification REDY sur le point de terminaison /web/api/v1/auth/token, ce qui compromet la garantie de confidentialité du client pour l'implémentation OAuth.
Sources
- ExploitsPoC
Des CVE originaux, des PoC d'exploits et des avis de sécurité avec des chaînes de vulnérabilités détaillées, des techniques d'élévation de privilèges et d'évasion de conteneurs pour les tests d'intrusion et la recherche.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.