SciTokens C++: सापेक्ष पथ ट्रैवर्सल भेद्यता (Relative Path Traversal Vulnerability)

CVE-2026-32725 scitokens-cpp लाइब्रेरी को प्रभावित करता है, जिसका उपयोग C/C++ में SciToken प्रबंधित करने के लिए किया जाता है। संस्करण 1.4.1 से पहले, इस लाइब्रेरी में टोकन के भीतर पथ-आधारित स्कोप को संसाधित करते समय प्राधिकरण बाईपास की भेद्यता है। लाइब्रेरी प्राधिकरण से पहले टोकन से स्कोप पथ को सामान्य करती है और '..' पथ घटकों को अस्वीकार करने के बजाय उन्हें क्रैश कर देती है। नतीजतन, एक हमलावर स्कोप दावे में पैरेंट-डायरेक्टरी ट्रैवर्सल का उपयोग करके इच्छित निर्देशिका से परे प्रभावी प्राधिकरण का विस्तार कर सकता है। यह उन प्रणालियों में विशेष रूप से चिंताजनक है जो संवेदनशील संसाधनों तक पहुंच को नियंत्रित करने के लिए SciToken पर निर्भर करती हैं, क्योंकि दुर्भावनापूर्ण टोकन अत्यधिक विशेषाधिकार प्रदान कर सकता है।

Applications and systems that rely on SciTokens C++ for authentication or authorization, particularly those handling sensitive data or performing critical operations, are at risk. This includes systems using SciTokens C++ in custom authentication schemes or integrating it with third-party services.

• cpp / library: Examine token scope paths for ".." sequences.

if (scopePath.find("../") != std::string::npos) {
  // Reject token
  throw std::runtime_error("Invalid scope path: contains '..'");
}

• generic web: Monitor application logs for unusual file access patterns or errors related to scope path processing.

1. 2026-03-31Disclosure

   disclosure

1. आरक्षित2026-03-13
2. प्रकाशित2026-03-31
3. संशोधित2026-04-03
4. EPSS अद्यतन2026-04-08

इस भेद्यता के लिए समाधान scitokens-cpp को संस्करण 1.4.1 या उच्चतर में अपग्रेड करना है। यह संस्करण स्कोप पथ को संसाधित करने के तरीके को ठीक करता है, '..' घटकों को सही ढंग से अस्वीकार करता है और प्राधिकरण बाईपास को रोकता है। scitokens-cpp का उपयोग करने वाले डेवलपर्स को जल्द से जल्द अपग्रेड का मूल्यांकन करने की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, SciToken का उपयोग करने वाले मौजूदा कार्यान्वयनों की समीक्षा करें ताकि यह सुनिश्चित हो सके कि पथ सत्यापन से संबंधित कोई अन्य संबंधित भेद्यता नहीं है। इस जोखिम को कम करने के लिए पैच लागू करना और कोड समीक्षा करना महत्वपूर्ण कदम हैं।