CVE-2026-7003
WIT SynApps Runtime 1.4.11 Divulgazione di credenziali OAuth hardcoded
- Pubblicato
- 30 ott 2026
- Aggiornato
- 30 ott 2026
- Assegnazione CNA
- VulnCheck
- Evidenza osservata
- 30 ott 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XRiepilogo
WIT SynApps Runtime fino alla versione 1.4.11 contiene una vulnerabilità di credenziali hardcoded che consente ad attaccanti non autenticati di recuperare valori statici di clientId e clientSecret OAuth incorporati nel JavaScript inviato al frontend, come in parameters.js. Gli attaccanti possono estrarre queste credenziali applicative esposte per riprodurre la porzione applicativa del flusso di autenticazione REDY presso l'endpoint /web/api/v1/auth/token, compromettendo la garanzia di client riservato per l'implementazione OAuth.
Fonti
- ExploitsPoC
CVE originali, PoC di exploit e advisory di sicurezza con catene di vulnerabilità dettagliate, escalation dei privilegi e tecniche di container escape per penetration testing e ricerca.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.