CVE-2026-29792

Atakujący wysyła spreparowane żądanie GET bezpośrednio do endpointu /oauth/:provider/callback, umieszczając sfałszowany profil użytkownika w query stringu. Ponieważ atakujący nigdy nie zainicjował właściwego przepływu OAuth, biblioteka Grant nie dysponuje żadną sesją ani danymi stanu, co powoduje uruchomienie mechanizmu fallback w łańcuchu przetwarzania payloadu uwierzytelnienia. Fallback sięga do surowych parametrów żądania (params.query), gdzie atakujący umieścił sfałszowany profil. Na podstawie tych danych system wyszukuje encję użytkownika i generuje token JWT — bez jakiegokolwiek kontaktu z rzeczywistym dostawcą OAuth.

Atakujący bez żadnego uwierzytelnienia uzyskuje ważny token dostępu JWT przypisany do istniejącego konta użytkownika, co umożliwia mu pełne podszywanie się pod tę osobę i dostęp do wszystkich zasobów chronionych tym tokenem.

Należy jak najszybciej zaktualizować Feathers.js do wersji 5.0.42, w której podatność została usunięta. Do czasu wdrożenia patcha zaleca się rozważenie tymczasowego zablokowania dostępu do endpointów /oauth/:provider/callback na poziomie firewall lub reverse proxy.

Feathersjs Feathers w wersjach od 5.0.0 do 5.0.41 (przed 5.0.42)

Podatność zgłoszona i naprawiona przez zespół Feathersjs. Szczegóły techniczne dostępne w oficjalnym security advisory GHSA-wg9x-qfgw-pxhj na GitHub.