CVE-2026-7003
WIT SynApps Runtime 1.4.11 में हार्डकोडेड OAuth क्रेडेंशियल्स का खुलासा
- प्रकाशित
- 30 अक्टू॰ 2026
- अद्यतन
- 30 अक्टू॰ 2026
- सीएनए असाइन करना
- VulnCheck
- साक्ष्य देखे गए
- 30 अक्टू॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xसारांश
WIT SynApps Runtime 1.4.11 तक में एक हार्डकोडेड क्रेडेंशियल्स वाली भेद्यता है जो अप्रमाणित हमलावरों को फ्रंटएंड पर भेजे गए JavaScript में एम्बेड किए गए स्थिर OAuth clientId और clientSecret मानों को पुनः प्राप्त करने की अनुमति देती है, जैसे कि parameters.js में। हमलावर इन उजागर एप्लिकेशन क्रेडेंशियल्स को निकालकर /web/api/v1/auth/token एंडपॉइंट पर REDY प्रमाणीकरण प्रवाह के एप्लिकेशन भाग को पुनः उत्पन्न कर सकते हैं, जिससे OAuth कार्यान्वयन के लिए गोपनीय-क्लाइंट आश्वासन कमजोर हो जाता है।
स्रोत
- ExploitsPoC
मूल CVEs, exploit PoCs, और सुरक्षा सलाहकारियाँ, जिनमें विस्तृत भेद्यता श्रृंखलाएँ, विशेषाधिकार वृद्धि, और कंटेनर पलायन तकनीकें शामिल हैं, पेनिट्रेशन परीक्षण और अनुसंधान के लिए।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।