CVE-2026-117656: impersonamento in Sign in with Apple

Vulnerabilità critica CVSS 9,3 in pow-auth assent consente l'impersonamento di utenti tramite Sign in with Apple.

CVE-2026-117656 è una vulnerabilità Acceptance of Extraneous Untrusted Data With Trusted Data nella libreria pow-auth assent per Sign in with Apple. Il parametro 'user' della callback è controllato dal browser ma accettato come fidato e unito ai claim del token ID verificato. Un attaccante sovrascrive così claim critici come subject e email, completando l'autenticazione con il proprio Apple ID e modificando il parametro per impersonare un altro utente. Le applicazioni che autorizzano account in base ai valori restituiti rimangono vulnerabili a impersonamento totale.

CVSS 9,3 (Critical). L'attacco non richiede autenticazione iniziale. CVE pubblicato il 31 ottobre 2026. Patch disponibile in assent 0.3.2 e successive. Tre post su social media nelle ultime 24 ore indicano consapevolezza nella comunità di sviluppo. Nessun segnale verificato di exploit pubblici al momento della pubblicazione.

Aggiornare immediatamente alla versione 0.3.2 o successiva. Se non fattibile subito, revisionare i log di autenticazione per identificare pattern anomali di login. Assicurarsi che i meccanismi di autorizzazione non dipendano unicamente da subject o email non validati. Verificare l'autorizzazione su dati fidati archiviati lato server. Revocare sessioni sospette.

In sintesi

Cosa: Falla di accettazione di dati non fidati nella strategia Sign in with Apple di pow-auth assent. Il parametro 'user' della callback di autenticazione è controllato dal client ma accettato come fidato, permettendo di sovrascrivere claim critici come 'sub' (subject) e email. Un attaccante completa l'autenticazione con il proprio Apple ID e modifica il parametro per impersonare un altro utente.
Gravità: CVSS 9,3 (Critical). Consente a un attaccante non autenticato di impersonare qualsiasi utente. Applicazioni che autorizzano account in base a subject o email restituiti rischiano accesso non autorizzato e account takeover immediato.
Versioni interessate: assent da 0.1.25 prima di 0.3.2. Tutte le versioni in questo intervallo sono interessate.
Correzione: Aggiornare a pow-auth assent 0.3.2 o successiva. La versione corretta valida il parametro 'user' rispetto al token ID verificato e rifiuta i claim non autenticati.
Stato: CVE pubblicato il 31 ottobre 2026. Patch disponibile nella versione 0.3.2. Tre post su social media nelle ultime 24 ore indicano consapevolezza nella comunità di sviluppo (segnali non verificati). Nessun segnale confermato di exploit pubblico.
Azione: Aggiornamento prioritario alla versione 0.3.2 o successiva. Revisionare le log di autenticazione per pattern anomali. Verificare che l'autorizzazione degli account non dipenda unicamente da subject o email non validati. Revocare sessioni sospette se necessario.

Fonti: NVD, CVE-2026-117656

← Tutti gli articoli