Pocket ID'de CVSS 9.6 açık: eski doğrulama token'ı yeni e-posta adresini "doğrulanmış" gösteriyor, bağlı uygulamalarda hesap devralma riski
Self-hosted OIDC sağlayıcısı Pocket ID'de CVE-2026-115770, sıradan bir kullanıcının kontrol etmediği bir e-posta adresini doğrulanmış gibi göstermesine izin veriyor. E-posta adresine göre hesap eşleyen uygulamalarda bu, başka kullanıcıların hesaplarının ele geçirilmesine yol açabilir. Düzeltme v2.12.0 ile geldi.
CVE-2026-115770
Passkey tabanlı, kendi sunucunuzda çalıştırdığınız açık kaynak OIDC sağlayıcısı Pocket ID için kritik bir açık kaydı yayımlandı. CVE-2026-115770 9 Kasım gecesi GitHub Security Advisories'e ve NVD'ye girdi; CVSS 3.1 puanı 9,6 (AV:N/AC:L/PR:L/UI:N/S:C). Açık CISA KEV kataloğunda yok ve aktif istismar bildirimi yok. Düzeltme aslında Temmuz ayında v2.12.0 ile yayımlanmıştı; bildirimin şimdi kamuya açılması, o tarihten bu yana güncellenmemiş kurulumları doğrudan hedef hâline getiriyor.
Bildirime göre sorun e-posta doğrulama token'ının bağlandığı şeyde. Token yalnızca kullanıcı kimliğine bağlı, gönderildiği adrese değil. Kullanıcı e-posta adresini değiştirdiğinde daha önce verilmiş token'lar iptal edilmiyor. Sonuçta sıradan bir Pocket ID kullanıcısı, kendisine ait olmayan bir adresi hesabında "doğrulanmış" olarak işaretletebiliyor ve Pocket ID bu adresi OIDC yanıtlarında email_verified: true ile bağlı uygulamalara iletiyor. Yönetici yetkisi, kurbanın etkileşimi ya da kurbanın posta kutusuna erişim gerekmiyor.
Asıl hasar Pocket ID'nin kendisinde değil, ona güvenen uygulamalarda ortaya çıkıyor. Hesapları doğrulanmış e-posta adresine göre eşleyen ya da yeni hesap açan bir uygulama, saldırganın Pocket ID kimliğini kurbanın mevcut hesabına bağlayabilir. Bildirim, yalnızca değişmeyen OIDC sub claim'ine dayanan uygulamaların bu sonuçtan etkilenmediğini belirtiyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Pocket ID | v2.12.0 öncesi | v2.12.0 ve sonrası (güncel sürüm v2.19.2) |
Bildirimdeki ön koşullar varsayılan ayarlarla örtüşüyor: e-posta doğrulama kullanımda ve kullanıcıların kendi hesabını düzenlemesine izin veriliyor. Hedef adresin başka bir Pocket ID kullanıcısına atanmamış olması da gerekiyor.
Beni etkiliyor mu?
Pocket ID'nin hangi sürümle çalıştığını kontrol edin. Sürüm yönetim panelinde görünür; konteyner kurulumlarında imaj etiketine bakabilirsiniz. Aşağıdaki komutlar yalnızca okuma yapar:
docker ps --format "{{.Image}} {{.Names}}" | grep -i pocket
kubectl get pods -A -o jsonpath="{..image}" | tr ' ' '\n' | grep -i pocket-idlatest etiketi kullanıyorsanız konteynerin en son ne zaman yeniden çekildiğini doğrulayın; etiket tek başına sürümü göstermez. Sürüm v2.12.0'dan eskiyse kurulum etkilenir. Ardından Pocket ID'ye bağlı uygulamalarınızı gözden geçirin: kullanıcıyı sub yerine e-posta adresine göre eşleyen ya da otomatik hesap açan her uygulama, risk zincirinin ikinci halkasıdır.
Ne yapılmalı?
- Pocket ID'yi güncel sürüme (en az v2.12.0, tercihen v2.19.2) yükseltin. Arada çok sayıda sürüm atlanıyorsa sürüm notlarındaki geçiş uyarılarını okuyun.
- Hemen yükseltemiyorsanız workaround olarak kullanıcıların kendi e-posta adresini değiştirmesini yönetici ayarlarından kapatın; adres değişikliklerini yalnızca yöneticiler yapsın.
- Bağlı uygulamalarda hesap eşlemeyi e-posta adresi yerine OIDC
subclaim'ine dayandırın. Bu, kimlik sağlayıcınız hangisi olursa olsun önerilen hardening adımıdır. - Pocket ID'de yakın dönemde e-posta adresi değişen hesapları ve bağlı uygulamalarda beklenmedik hesap bağlama olaylarını inceleyin. Şüpheli bir eşleme varsa ilgili oturumları sonlandırın ve hesap sahibini doğrulayın.
