BBS-Go 4.4.6'da Google One Tap API'sinde Kimlik Doğrulama Atlatma Açığı
Yapay zeka üretimi17.10.2026
- CVE
- CVE-2026-111639
- Ciddiyet
- Yüksek (CVSS 8.1)
- Firma / ürün
- - / -
Özet
NVD kaydına göre, BBS-Go 4.4.6 sürümündeki /api/login/google_one_tap uç noktası, Google ID token'larının denetlenmemesi nedeniyle uzaktan saldırganların başka kullanıcılar olarak oturum açmasına izin veriyor.
Ayrıntılar
NVD kaydına göre, BBS-Go uygulamasının 4.4.6 sürümüne kadar olan versiyonlarında /api/login/google_one_tap endpoint'inde kimlik doğrulama atlatma açığı bulunuyor. Saldırganlar, kendi Google OAuth istemcileriyle bir kurbanın Google-imzalı ID token'ını yakalayıp yeniden göndererek, aud (audience) alanı kontrol edilmediği için kurbanın Google-bağlantılı hesabı olarak oturum açabiliyor. Açığın ciddiyeti CVSS 8.1 puanıyla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.