Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en PKCE (CVE-2025-4144)

Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-287 Autenticación incorrecta
Fecha de publicación:
01/05/2025
Última modificación:
12/05/2025

Descripción

PKCE se implementó en la implementación de OAuth en workers-oauth-provider, que forma parte del framework MCP (https://github.com/cloudflare/workers-mcp). Sin embargo, se detectó que un atacante podría omitir la comprobación. Corregido en: https://github.com/cloudflare/workers-oauth-provider/pull/27 https://github.com/cloudflare/workers-oauth-provider/pull/27 Impacto: PKCE es un mecanismo de defensa en profundidad contra ciertos tipos de ataques y era una extensión opcional en OAuth 2.0, que se convirtió en obligatoria en el borrador de OAuth 2.1. (Tenga en cuenta que la especificación MCP requiere OAuth 2.1). Este error ignora por completo la protección de PKCE.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:cloudflare:workers-oauth-provider:0.0.5:*:*:*:*:*:*:*


Referencias a soluciones, herramientas e información