CVE-2026-22005 – Фишинг с помощью кода устройства OAuth 2.0 (короткий интервал)

Программный код (Python)

# device_code_server.py - Authorization server with too-fast polling
import time, secrets
codes = {}

@app.route('/device/code')
def device_code():
    code = secrets.token_urlsafe(16)
    codes[code] = {'user_code': secrets.token_hex(4), 'status': 'pending'}
    return jsonify(codes[code])

@app.route('/token')
def token():
    code = request.args['device_code']
    # Vulnerability: allows polling every 1 second, and attacker can brute-force user_code
    if codes[code]['status'] == 'pending':
        # Check if user_code was entered (simulated)
        time.sleep(0.5)  # delay to simulate user
        return jsonify({'access_token': 'secret'})

CVE-2026-22005 – Фишинг с помощью кода устройства OAuth 2.0 посредством короткого интервала опроса

Обзор

Предоставление авторизации устройства OAuth 2.0 позволяет клиенту опрашивать конечную точку токена каждую секунду. Злоумышленник может инициировать поток устройства, показать код пользователя жертве (фишинг), и, поскольку интервал опроса очень короткий, злоумышленник получает токен доступа прежде, чем жертва заметит неправомерное использование.

Детали уязвимости

• Тип: Социальная инженерия / Фишинг
• Воздействие: Захват учётной записи.
• Корневая причина: Сервер авторизации не обеспечивает соблюдение минимального интервала опроса (должен составлять 5+ секунд) и не требует подтверждения проверочного кода пользователя после выдачи токена.

Демонстрация эксплуатации

Запустите симуляцию:

pip install flask
python device_code_server.py
# Attacker starts flow, gets device_code and user_code, phishes victim.