kratos

채팅 · 토론 · 뉴스레터 · 문서 · Ory Network 사용해보기 · 채용 Ory Kratos는 클라우드 네이티브 애플리케이션을 위한 API 우선 아이덴티티 및 사용자 관리 시스템입니다. 로그인, 회원가입, 계정 복구, 인증, 프로필 관리 흐름을 중앙화하여 서비스가 이를 직접 다시 구현하지 않고 사용할 수 있게 합니다. 목차 Ory Kratos란 무엇인가? Ory Kratos를 선택해야 하는 이유 Auth0, Okta 및 유사 제공업체에서 마이그레이션하기 배포 옵션 Ory Network에서 Ory Kratos 사용하기 O...

hydra

チャット · ディスカッション · ニュースレター · ドキュメント · Ory Network を試す · 採用情報 Ory Hydra は、堅牢化された OpenID 認定の OAuth 2.0 サーバー兼 OpenID Connect プロバイダーであり、低レイテンシー、高スループット、低リソース消費に最適化されています。ログインと同意アプリを介して既存の ID プロバイダーに接続し、ユーザーインターフェースとエクスペリエンスを完全に制御できます。 Ory Hydra とは? Ory Hydra を選ぶ理由 OAuth2 と OpenID Connect: オープンスタンダード...

dex

dex - フェデレーション型OpenID Connectプロバイダー Dexは、OpenID Connectを使用して他のアプリの認証を駆動するアイデンティティサービスです。 Dexは、「コネクタ」を介して他のアイデンティティプロバイダーへのポータルとして機能します。これにより、dexはLDAPサーバー、SAMLプロバイダー、またはGitHub、Google、Active Directoryなどの確立されたアイデンティティプロバイダーへの認証を委任できます。クライアントはdexと通信するための認証ロジックを一度記述するだけでよく、dexが各バックエンドのプロトコルを処理します。...

boundary

Boundary Boundaryとは: https://developer.hashicorp.com/boundary/docs/what-is-boundary ウェブサイト: https://www.developer.hashicorp.com/boundary/ フォーラム: HashiCorp Discuss ドキュメント: https://developer.hashicorp.com/boundary/docs チュートリアル: HashiCorpのLearnプラットフォーム...

WordPress OpenID Connect Generic Client 3.8.0-3.8.1 - Cross-Site Scripting

WordPress OpenID Connect Generic Client plugin 3.8.0 and 3.8.1 contains a cross-site scripting vulnerability. It does not sanitize the login error when output back in the login form, thereby not requiring authentication, which can be exploited with the default configuration. id: CVE-2021-24214...

Payara Micro Community 5.2021.6 Directory Traversal

Payara Micro Community 5.2021.6 and below contains a directory traversal vulnerability. id: CVE-2021-41381 info: name: Payara Micro Community 5.2021.6 Directory Traversal author: pikpikcu severity: high description: Payara Micro Community 5.2021.6 and below contains a directory traversal...

Keycloak < 24.0.5 - Broken Access Control

A flaw was found in Keycloak. Certain endpoints in Keycloak's admin REST API allow low-privilege users to access administrative functionalities. This flaw allows users to perform actions reserved for administrators, potentially leading to data breaches or system compromise. id: CVE-2024-3656 info...

CVE-2026-73278

Gitea's OAuth2 and OpenID Connect sign-in paths do not require a WebAuthn challenge when WebAuthn is the account's only configured second factor. A party able to authenticate through the affected external identity flow can obtain a full session without the passkey verification enforced during...

CVE-2026-73278 Gitea WebAuthn bypass during OAuth and OIDC sign-in

Gitea's OAuth2 and OpenID Connect sign-in paths do not require a WebAuthn challenge when WebAuthn is the account's only configured second factor. A party able to authenticate through the affected external identity flow can obtain a full session without the passkey verification enforced during...

keycloak: Keycloak: Denial of Service via excessive processing of OpenID Connect scope parameters

A flaw was found in Keycloak. An unauthenticated attacker can exploit this vulnerability by sending a specially crafted POST request with an excessively long scope parameter to the OpenID Connect OIDC token endpoint. This leads to high resource consumption and prolonged processing times, ultimate...

keycloak: Keycloak: Denial of Service via excessive processing of OpenID Connect scope parameters

A flaw was found in Keycloak. An unauthenticated attacker can exploit this vulnerability by sending a specially crafted POST request with an excessively long scope parameter to the OpenID Connect OIDC token endpoint. This leads to high resource consumption and prolonged processing times, ultimate...

oauth-scan

OAUTHScan 説明 OAUTHScanは、OAUTHv2およびOpenID標準を実装したアプリケーションのペネトレーションテスト中に役立つ自動セキュリティチェックを提供することを目的とした、Javaで書かれたBurp Suite拡張機能です。 このプラグインは、さまざまなOAUTHv2/OpenIDの脆弱性と一般的な誤設定（両フレームワークの公式仕様に基づく）を検出します。多くのチェックは、以下のリファレンスに従って開発されています： https://datatracker.ietf.org/doc/html/rfc6749...

pocKeycloakCVE-2023-0264

PoC CVE-2023-0264 — front（OIDCセッションハイジャック） Keycloakに対してOIDC（authorization code）フローを実行し、PoCのsessionidハイジャックフックを公開する静的フロントエンド。チーム利用のためnginxでポート5174 に配信される。 起動方法（VPS上で） cd vps/pocCVE0264 docker compose up -d --build http://maquina:5174 で利用可能。プロバイダーのファイアウォールで5174/TCP を開放する（8443と同じように）。...

CVE-2026-105119

OpenAM before 16.1.3 applies its OAuth2 Provider PKCE enforcement only to authorization requests whose responsetype is exactly code, so codes issued through OpenID Connect hybrid flows code token, code idtoken, code token idtoken carry no bound challenge. An attacker who intercepts such a code ca...

OAUTHScan

OAUTHScan 説明 OAUTHScan は、OAUTHv2 および OpenID 標準を実装したアプリケーションのペネトレーションテスト中に役立つ、いくつかの自動セキュリティチェックを提供することを目的とした、Java で書かれた Burp Suite 拡張機能です。 このプラグインは、さまざまな OAUTHv2/OpenID の脆弱性と一般的な誤設定（両フレームワークの公式仕様に基づく）を探します。チェックの多くは、以下の参考文献に従って開発されています。 https://datatracker.ietf.org/doc/html/rfc6749...

FlowAnalyzer

Flow Analyzer Flow Analyzer は、OAuth 2.0 のグラント/フローの低レベルな理解とテストを支援するために設計されています。 私のユースケースはセキュリティ方面ですが、エンジニアの視点からも有益です 😊 フローを実行するノートブックは /Flows ディレクトリに、各フローの簡単な説明は /Flows/Flows.md にあります。 フロー自体は、整理整頓のためにそれぞれ対応するディレクトリに分けています! 証明書認証を試してみたい場合は、/CertSetup ディレクトリで、その方法とセットアップの詳細を確認してください。 セットアップ:...

CVE-2026-94276

Improper Authentication vulnerability in Apache APISIX. On a route using openid-connect plugin with remote introspection against an authorization server that serves multiple issuers, a token that introspects as active for one issuer may get accepted on a route restricted to another. This issue...

CVE-2026-94276

Apache APISIX versions 3.12.0 through 3.18.0 are vulnerable to an Improper Authentication issue in the openid-connect plugin . When using remote introspection against an authorization server supporting multiple issuers, a token valid for one issuer may be incorrectly accepted on a route restricte...

EUVD-2026-90769

Improper Authentication vulnerability in Apache APISIX. On a route using openid-connect plugin with remote introspection against an authorization server that serves multiple issuers, a token that introspects as active for one issuer may get accepted on a route restricted to another. This issue...

CVE-2026-94276 Apache APISIX: Openid-connect introspection validation issue

Improper Authentication vulnerability in Apache APISIX. On a route using openid-connect plugin with remote introspection against an authorization server that serves multiple issuers, a token that introspects as active for one issuer may get accepted on a route restricted to another. This issue...