Platform
cpp
Component
scitokens-cpp
Opgelost in
1.4.2
CVE-2026-32725 is een Path Traversal kwetsbaarheid in SciTokens C++. Deze kwetsbaarheid maakt een autorisatie bypass mogelijk bij het verwerken van pad-gebaseerde scopes in tokens. De bibliotheek normaliseert het scope pad en reduceert ".." componenten, waardoor een aanvaller de autorisatie kan verbreden. Deze kwetsbaarheid treft versies kleiner dan 1.4.1. De kwetsbaarheid is verholpen in versie 1.4.1.
CVE-2026-32725 heeft betrekking op de scitokens-cpp bibliotheek, die in C/C++ wordt gebruikt voor het beheren van SciTokens. Voor versie 1.4.1 is deze bibliotheek kwetsbaar voor een autorisatie-omzeiling bij het verwerken van pad-gebaseerde scopes binnen tokens. De bibliotheek normaliseert het scope-pad uit de token voordat de autorisatie plaatsvindt en collabeert '..' padcomponenten in plaats van ze te verwerpen. Hierdoor kan een aanvaller een ouder-directory traversal in de scope claim gebruiken om de effectieve autorisatie verder uit te breiden dan de bedoelde directory. Dit is vooral zorgwekkend in systemen die afhankelijk zijn van SciTokens voor toegangscontrole tot gevoelige resources, aangezien een kwaadaardige token overmatige privileges kan verlenen.
Een aanvaller kan deze kwetsbaarheid exploiteren door een SciToken te maken met een kwaadaardige scope die '..' sequenties bevat om buiten de bedoelde directory te navigeren. Bijvoorbeeld, een token dat alleen toegang tot '/data/project1/' zou moeten verlenen, kan worden gemanipuleerd om toegang te krijgen tot '/data/../secrets/'. De bibliotheek zou deze ongeautoriseerde toegang toestaan vanwege een onjuiste padvalidatie. Exploitatie is relatief eenvoudig als een aanvaller de controle heeft over de tokencreatie of het kan onderscheppen en wijzigen voordat het wordt gebruikt. Het ontbreken van een robuuste padvalidatie in de scope claim is de hoofdoorzaak van deze kwetsbaarheid.
Applications and systems that rely on SciTokens C++ for authentication or authorization, particularly those handling sensitive data or performing critical operations, are at risk. This includes systems using SciTokens C++ in custom authentication schemes or integrating it with third-party services.
• cpp / library: Examine token scope paths for ".." sequences.
if (scopePath.find("../") != std::string::npos) {
// Reject token
throw std::runtime_error("Invalid scope path: contains '..'");
}• generic web: Monitor application logs for unusual file access patterns or errors related to scope path processing.
disclosure
Exploit Status
EPSS
0.23% (46% percentiel)
CISA SSVC
CVSS-vector
De oplossing voor deze kwetsbaarheid is om te upgraden naar versie 1.4.1 of hoger van scitokens-cpp. Deze versie corrigeert de manier waarop scope-paden worden verwerkt, waarbij '..' componenten correct worden verworpen en de autorisatie-omzeiling wordt voorkomen. Ontwikkelaars die scitokens-cpp gebruiken, worden ten zeerste aangeraden om de upgrade zo snel mogelijk te evalueren. Controleer bovendien bestaande implementaties die SciTokens gebruiken om te zorgen voor geen andere gerelateerde kwetsbaarheden bij de padvalidatie. Het toepassen van patches en code review zijn cruciale stappen om dit risico te mitigeren.
Actualice la biblioteca scitokens-cpp a la versión 1.4.1 o superior. Esta versión corrige la vulnerabilidad de path traversal que permite la elusión de la autorización. La actualización evitará que los atacantes amplíen la autorización más allá del directorio previsto mediante la manipulación de las rutas en las reclamaciones de alcance.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Een SciToken is een beveiligingstoken dat informatie bevat over de gebruiker, de resource waartoe ze proberen toegang te krijgen en de acties die ze kunnen uitvoeren. Het wordt vaak gebruikt voor autorisatie in gedistribueerde systemen.
Als uw applicatie scitokens-cpp gebruikt en niet is bijgewerkt naar versie 1.4.1 of hoger, is deze kwetsbaar voor een autorisatie-omzeiling. Dit kan een aanvaller in staat stellen toegang te krijgen tot resources waarvoor ze geen toegang zouden moeten hebben.
Als u niet onmiddellijk kunt upgraden, overweeg dan om aanvullende mitigatiemaatregelen te implementeren, zoals strengere padvalidatie in uw eigen applicatie voordat u de SciToken gebruikt.
Momenteel zijn er geen specifieke tools om deze kwetsbaarheid te detecteren. Handmatige code review is de beste optie totdat geautomatiseerde tools zijn ontwikkeld.
U kunt meer informatie over SciTokens vinden op hun officiële website: [https://scitokens.com/](https://scitokens.com/)
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.