CVE-2026-22005 – OAuth 2.0 设备代码钓鱼（短间隔）

程序代码（Python）

# device_code_server.py - Authorization server with too-fast polling
import time, secrets
codes = {}

@app.route('/device/code')
def device_code():
    code = secrets.token_urlsafe(16)
    codes[code] = {'user_code': secrets.token_hex(4), 'status': 'pending'}
    return jsonify(codes[code])

@app.route('/token')
def token():
    code = request.args['device_code']
    # Vulnerability: allows polling every 1 second, and attacker can brute-force user_code
    if codes[code]['status'] == 'pending':
        # Check if user_code was entered (simulated)
        time.sleep(0.5)  # delay to simulate user
        return jsonify({'access_token': 'secret'})

CVE-2026-22005 – 利用短轮询间隔的 OAuth 2.0 设备代码钓鱼

概述

OAuth 2.0 设备授权许可允许客户端每秒轮询令牌端点。攻击者可发起设备授权流程，将用户代码展示给受害者（钓鱼），由于轮询间隔极短，攻击者能在受害者察觉异常之前获得访问令牌。

漏洞详情

• 类型： 社会工程学 / 钓鱼
• 影响： 账户接管。
• 根本原因： 授权服务器未强制执行最小轮询间隔（应为 5 秒以上），也未要求在令牌签发后确认用户验证码。

漏洞利用演示

运行模拟：

pip install flask
python device_code_server.py
# Attacker starts flow, gets device_code and user_code, phishes victim.