PAC4J présente une vulnérabilité Cross-Site Request Forgery (CSRF)

L'exploitation réussie de cette vulnérabilité CSRF permet à un attaquant d'effectuer des actions au nom d'un utilisateur authentifié sans son consentement. Concrètement, cela peut inclure la modification du profil de l'utilisateur, le changement de son mot de passe, ou toute autre action autorisée par l'application utilisant PAC4J Core. Le risque est exacerbé par le fait que l'attaquant n'a pas besoin de connaître le token CSRF de la victime ni son hachage préalable à l'attaque, grâce à l'exploitation des collisions dans la fonction String.hashCode(). Cette faiblesse réduit l'espace de sécurité du token à 32 bits, rendant la protection CSRF inefficace.

Applications utilizing PAC4J Core for authentication and authorization, particularly those handling sensitive user data, are at risk. Shared hosting environments where multiple applications share the same PAC4J Core library are also particularly vulnerable, as a compromise in one application could potentially impact others.

• java / server:

# Check for PAC4J Core version
java -jar your_application.jar | grep "PAC4J Core"

• generic web:

# Check for suspicious requests in access logs
grep -i "/your/sensitive/endpoint" access.log

1. 2026-04-17Disclosure

   disclosure

1. Réservé2026-04-13
2. Publiée2026-04-17
3. EPSS mis à jour2026-04-25

La mitigation principale consiste à mettre à jour PAC4J Core vers la version 6.4.1 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, envisagez d'implémenter des mesures de protection CSRF supplémentaires au niveau de l'application, telles que la validation du SameSite cookie. Il est également recommandé de surveiller les logs d'accès pour détecter des requêtes suspectes et d'utiliser un Web Application Firewall (WAF) pour bloquer les requêtes malveillantes. Après la mise à jour, vérifiez que la protection CSRF est correctement implémentée en testant l'application avec des requêtes forgées.