ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
Pocket ID هو موفر OIDC يتيح للمستخدمين المصادقة باستخدام مفاتيح المرور الخاصة بهم للخدمات. من الإصدار 1.11.0 حتى 2.10.0، تقبل الدالة createTokenFromClientCredentials في الملف backend/internal/service/oidc_service.go معامل المورد المتحكم فيه من قبل العميل وتضمنه مباشرة في مطالبة aud الخاصة بالرمز المميز دون التحقق من تسجيل الجمهور أو ما إذا كان العميل الطالب مسموحًا له بالوصول إليه. يمكن لأي عميل OIDC مصادق عليه بالتالي الحصول على رمز مميز موقع من Pocket ID يسمي عميلاً آخر أو جمهورًا عشوائيًا. لا يمكن نقطة النهاية /api/oidc/introspect تمييز الرمز المميز غير المصرح به لأنها تتعامل مع الرمز المميز على أنه نشط عندما يتطابق معرّف العميل الذي يقوم بالفحص مع الجمهور الذي اختاره المهاجم. في عمليات نشر تتثق فيها خوادم الموارد مع رموز وصول Pocket ID لتخويل الخدمة إلى الخدمة، يتجاوز هذا ضوابط الوصول المستندة إلى الجمهور ويمكن أن يسمح بالوصول إلى البيانات أو الإجراءات غير المصرح بها؛ عمليات النشر التي لا تستخدم هذه الرموز المميزة لتخويل خادم الموارد ليس لها تأثير قابل للاستغلال الفوري. تم إصلاح هذه المشكلة في الإصدار 2.10.0.