Vulnerabilidad en Wasp (CVE-2025-49006)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
09/06/2025
Última modificación:
12/06/2025
Descripción
Wasp (Especificación de Aplicación Web) es un framework similar a Rails para React, Node.js y Prisma. Antes de la versión 0.16.6, la autenticación de Wasp presentaba una vulnerabilidad en la implementación de la autenticación OAuth (que solo afectaba a Keycloak con una configuración específica). Wasp actualmente convierte los ID de usuario de OAuth en minúsculas antes de almacenarlos u obtenerlos. Este comportamiento infringe las especificaciones de OAuth y OpenID Connect y puede provocar suplantación de identidad, conflictos de cuentas y escalada de privilegios. En la práctica, de los proveedores de OAuth compatibles con la autenticación de Wasp, solo Keycloak se ve afectado. Keycloak usa un UUID en minúsculas por defecto, pero los usuarios pueden configurarlo para que distinga entre mayúsculas y minúsculas, lo que lo hace afectado. Google, GitHub y Discord usan ID numéricos, lo que los protege. Los usuarios deben actualizar su versión de Wasp a la 0.16.6, que incluye una solución para el comportamiento problemático. Los usuarios que usan Keycloak pueden solucionar el problema no usando un ID de usuario que distinga entre mayúsculas y minúsculas en la configuración de su dominio.
Impacto
Puntuación base 4.0
8.20
Gravedad 4.0
ALTA