CVE-2026-63198 Escalada de privilegios mediante solicitud OAuth prompt=none en traQ
traQ antes de 3.28.3 permite que solicitudes de autorización OAuth2 silenciosas con prompt=none y scope vacío u omitido verifiquen el consentimiento previo contra el conjunto de scopes vacío, aunque todos los scopes registrados para el cliente quedan habilitados para su emisión. Un atacante que controla un cliente OAuth puede obtener un token de acceso con scopes registrados más amplios sin consentimiento adicional de un usuario que solo había consentido algunos scopes. Se corrige en la versión 3.28.3.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 17
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
traPtitech traQ
< 3.28.3
Qué hacer
- Verificá si usás traQ y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.3 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
traQ is a messenger application built for Digital Creators Club traP. Prior to 3.28.3, OAuth2 silent authorization requests using prompt=none with an empty or omitted scope parameter check prior consent against the empty requested scope set even though all scopes registered for the client become eligible for issuance. An attacker who controls an OAuth client capable of receiving authorization codes can target a user who previously consented to only some client scopes and obtain an access token containing broader registered scopes without additional consent. A user who has never consented to the client still receives consent_required. This issue is fixed in version 3.28.3.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.