Vulnerabilidad en guardian de ueberauth (CVE-2026-55735)

Gravedad CVSS v4.0:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

01/08/2026

Última modificación:

23/10/2026

Descripción

Verificación Incorrecta de Firma Criptográfica en ueberauth guardian permite a un atacante no autenticado revocar la sesión de una víctima con un token falsificado. Guardian.revoke/3 en lib/guardian.ex decodifica el token suministrado con peek/1, que no realiza verificación de firma (solo decodifica en base64 el encabezado y la carga útil del JWT). Las reclamaciones no verificadas resultantes se reenvían directamente a la devolución de llamada ’revoke’ del módulo de token configurado y a la devolución de llamada ’on_revoke’ de la implementación, un sumidero que muta el estado. Las operaciones hermanas refresh/2 y exchange/4 ambas llaman primero a decode_and_verify, por lo que la firma se verifica antes de que cualquier cosa actúe sobre las reclamaciones; revoke/3 es la única ruta que muta el estado y que actúa sobre las reclamaciones sin verificar la firma. Un atacante que conoce o adivina los valores de reclamación identificativos de una víctima (jti, sub) puede falsificar un JWT que contenga esas reclamaciones, firmarlo con una clave arbitraria y enviarlo a cualquier punto final que canalice un token suministrado por el llamador a Guardian.revoke/3 (el patrón estándar de cierre de sesión / revocación de sesión). Cuando el módulo de token muta el estado indexado por las reclamaciones (eliminación de lista blanca o inserción en lista negra, por ejemplo, un almacén estilo GuardianDb), la sesión legítima de la víctima es expulsada. Esto es una denegación de servicio de revocación de sesión no autenticada; el atacante nunca necesita el secreto de firma. Este problema afecta a guardian: desde 1.0.0 antes de 2.4.1.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.20 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.20

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto