dex

dex - 一个联邦式 OpenID Connect 身份提供者 Dex 是一种身份服务，使用 OpenID Connect 为其他应用驱动身份认证。 Dex 通过连接器.充当通往其他身份提供者的门户。这使 dex 可以将身份认证委托给 LDAP 服务器、SAML 提供商，或 GitHub、Google 和 Active Directory 等成熟的身份提供者。客户端只需编写一次与 dex 通信的身份认证逻辑，随后由 dex 处理特定后端的协议。 ID Tokens ID Token 是 OpenID Connect 引入的一种 OAuth2 扩展，也是 dex 的主要功能。ID Tok...

hydra

채팅 · 토론 · 뉴스레터 · 문서 · Ory Network 사용해 보기 · 채용 Ory Hydra는 낮은 지연 시간, 높은 처리량, 낮은 리소스 소비에 최적화된 강화된OpenID 인증 OAuth 2.0 서버이자 OpenID Connect 제공자입니다. 로그인 및 동의 앱을 통해 기존 ID 제공자에 연결되므로 사용자 인터페이스와 경험을 완전히 제어할 수 있습니다. Ory Hydra란 무엇인가? Ory Hydra를 선택하는 이유 OAuth2 및 OpenID Connect: 공개 표준 OpenID Connect 인증 배포 옵션 O...

kratos

채팅 · 토론 · 뉴스레터 · 문서 · Ory Network 사용해보기 · 채용 Ory Kratos는 클라우드 네이티브 애플리케이션을 위한 API 우선 아이덴티티 및 사용자 관리 시스템입니다. 로그인, 회원가입, 계정 복구, 인증, 프로필 관리 흐름을 중앙화하여 서비스가 이를 직접 다시 구현하지 않고 사용할 수 있게 합니다. 목차 Ory Kratos란 무엇인가? Ory Kratos를 선택해야 하는 이유 Auth0, Okta 및 유사 제공업체에서 마이그레이션하기 배포 옵션 Ory Network에서 Ory Kratos 사용하기 O...

OAUTHScan

OAUTHScan 설명Description OAUTHScan은 OAUTHv2 및 OpenID 표준을 구현하는 애플리케이션을 침투 테스트할 때 유용할 수 있는 몇 가지 자동 보안 검사를 제공하기 위해 Java로 작성된 Burp Suite 확장 프로그램입니다. 이 플러그인은 다양한 OAUTHv2/OpenID 취약점과 일반적인 잘못된 구성두 프레임워크의 공식 사양 기반을 탐색하며, 많은 검사는 다음 참고 자료에 따라 개발되었습니다: https://datatracker.ietf.org/doc/html/rfc6749...

boundary

Boundary Boundary란 무엇인가: https://developer.hashicorp.com/boundary/docs/what-is-boundary 웹사이트: https://www.developer.hashicorp.com/boundary/ 포럼: HashiCorp Discuss 문서: https://developer.hashicorp.com/boundary/docs 튜토리얼: HashiCorp's Learn Platform Boundary는 네트워크의 호스트와 중요 시스템에 액세스할 수 있는 간단하고 안전한 방법을...

WordPress OpenID Connect Generic Client 3.8.0-3.8.1 - Cross-Site Scripting

WordPress OpenID Connect Generic Client plugin 3.8.0 and 3.8.1 contains a cross-site scripting vulnerability. It does not sanitize the login error when output back in the login form, thereby not requiring authentication, which can be exploited with the default configuration. id: CVE-2021-24214...

Keycloak < 24.0.5 - Broken Access Control

A flaw was found in Keycloak. Certain endpoints in Keycloak's admin REST API allow low-privilege users to access administrative functionalities. This flaw allows users to perform actions reserved for administrators, potentially leading to data breaches or system compromise. id: CVE-2024-3656 info...

FlowAnalyzer

Flow Analyzer Flow Analyzer は、OAuth 2.0 のグラント/フローの低レベルな理解とテストを支援するために設計されています。 私のユースケースはセキュリティ方面ですが、エンジニアの視点からも有益です 😊 フローを実行するノートブックは /Flows ディレクトリに、各フローの簡単な説明は /Flows/Flows.md にあります。 フロー自体は、整理整頓のためにそれぞれ対応するディレクトリに分けています! 証明書認証を試してみたい場合は、/CertSetup ディレクトリで、その方法とセットアップの詳細を確認してください。 セットアップ:...

Payara Micro Community 5.2021.6 Directory Traversal

Payara Micro Community 5.2021.6 and below contains a directory traversal vulnerability. id: CVE-2021-41381 info: name: Payara Micro Community 5.2021.6 Directory Traversal author: pikpikcu severity: high description: Payara Micro Community 5.2021.6 and below contains a directory traversal...

oauth-scan

OAUTHScan 설명 OAUTHScan은 OAUTHv2 및 OpenID 표준을 구현하는 애플리케이션에 대한 침투 테스트 중 유용한 자동 보안 검사 기능을 제공하기 위해 Java로 작성된 Burp Suite 확장 프로그램입니다. 이 플러그인은 다양한 OAUTHv2/OpenID 취약점과 일반적인 오설정두 프레임워크의 공식 사양 기반을 탐지하며, 많은 검사 항목은 다음 참고 자료에 따라 개발되었습니다: https://datatracker.ietf.org/doc/html/rfc6749...

pocKeycloakCVE-2023-0264

PoC CVE-2023-0264 — 프론트 OIDC 세션 하이재킹 Keycloak을 대상으로 OIDC authorization code 플로우를 실행하고 PoC의 sessionid 하이재킹 훅을 노출하는 정적 프론트입니다. 팀 사용을 위해 nginx로 5174 포트에서 제공됩니다. VPS에서 실행하기 root@kitploit: cd vps/pocCVE0264 docker compose up -d --build http://maquina:5174에서 확인할 수 있습니다. 공급업체 방화벽에서 5174/TCP 를 열어두세요8443에...

CVE-2026-55221

Boruta is a standalone authorization server that aims to implement OAuth 2.0 and Openid Connect up to decentralized identity specifications. Prior to version 0.10.0, Boruta logged sensitive OAuth and OpenID Connect values in business event logs. Logged values could include access tokens, refresh...

CVE-2026-55221 Boruta: OAuth credentials exposed in Boruta business logs

Boruta is a standalone authorization server that aims to implement OAuth 2.0 and Openid Connect up to decentralized identity specifications. Prior to version 0.10.0, Boruta logged sensitive OAuth and OpenID Connect values in business event logs. Logged values could include access tokens, refresh...

CVE-2026-82183 OAuth Single Sign On 6.25.0 - 7.0.0 - Unauthenticated Account Takeover via Unverified Steam OpenID Assertion

The OAuth Single Sign On WordPress plugin before 7.0.1 does not verify the identity assertion returned by its Steam single sign-on flow, allowing unauthenticated attackers to log in as an arbitrary non-administrator user, and to create new accounts...

EEF-CVE-2026-75759 Encrypted ID token or JARM response accepted without a nested signature in erlef oidcc

Summary Improper Verification of Cryptographic Signature vulnerability in erlef oidcc allows an unauthenticated attacker to impersonate an arbitrary user via an encrypted ID token or JARM response carrying no nested signature. OpenID Connect Core 1.0 section 2 requires that an encrypted ID token ...

CVE-2026-82462 pac4j-oidc before 6.5.6 Authentication Bypass via Access Token Substitution

pac4j-oidc before 6.5.6 accepts OIDC callbacks carrying only an access token without authorization code or ID token validation. Attackers can substitute access tokens minted for other clients to create authenticated sessions without proper issuer, audience, nonce, or subject verification...

CVE-2026-63687

A flaw was found in Apache CXF. This vulnerability allows an attacker, who has compromised a client's secret, to bypass critical security protections in the authorization process. By injecting malicious values for parameters like codechallenge and nonce, the attacker can undermine the integrity o...

Linux Distros Unpatched Vulnerability : CVE-2026-70665

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available. - Doorkeeper OpenID Connect implements an OpenID Connect authentication provider for Rails applications on top of Doorkeeper. Prior to 1.10.4, the Dynamic Client...

DEBIAN-CVE-2026-70665

Doorkeeper OpenID Connect implements an OpenID Connect authentication provider for Rails applications on top of Doorkeeper. Prior to 1.10.4, the Dynamic Client Registration DCR endpoint persists client-supplied scopes without validating them against the server's configured scope set. Under certai...

CVE-2026-70665

Doorkeeper OpenID Connect implements an OpenID Connect authentication provider for Rails applications on top of Doorkeeper. Prior to 1.10.4, the Dynamic Client Registration DCR endpoint persists client-supplied scopes without validating them against the server's configured scope set. Under certai...