Yeni açıklanan CVE-2026-109461, MSAL Node loopback kurulumlarında token sızıntısına dikkat çekiyor

Danışma belgesi neyi anlatıyor

23 Ekim 2026'da dev.to'da DevOmniTools Security Suite imzasıyla, aynı akşam açıklandığı belirtilen CVE-2026-109461 kaydını duyuran bir güvenlik yazısı yayımlandı. Gönderiye göre danışma belgesi, Node.js için Microsoft'un kimlik doğrulama kütüphanesi olan MSAL Node'daki authorization code akışının, hassas parametreleri saldırgan kontrolündeki bir uç noktaya aktarabileceği bir senaryoyu kapsıyor. Authorization code akışı, web uygulamalarının bir kodu access token ile takas etmek için kullandığı standart OAuth dizisidir.

Yazar, sonucu geliştirici iş akışlarında kritik bir kimlik bilgisi sızıntısı olarak nitelendiriyor: uygulamalar dahili loopback dinleyicilerini açığa çıkardığında veya cookie serileştirme özniteliklerini yanlış yapılandırdığında, kimlik doğrulama sırları ve imzalama token'ları yerel origin sınırları aşılarak ele geçirilebiliyor.

Sızıntının nasıl çalıştığı iddia ediliyor

Gönderi iki katkıda bulunan koşul tespit ediyor. İlki loopback dinleyicileriyle ilgili. Geliştirme sunucuları ve yerel mikro servisler çoğunlukla 127.0.0.1 üzerinde veya paylaşımlı geliştirici container'larında çalışıyor; yazar, DNS rebinding koruması eksik olduğunda herhangi bir yerel web betiğinin veya kötü niyetli bir iframe'in loopback portunu sorgulayabileceğini — yani bir geliştiricinin kendi makinesinde kapalı olduğunu makul biçimde varsayabileceği veriye ulaşabileceğini savunuyor. Gönderiye göre HttpOnly ve SameSite işaretli cookie'ler normalde bu varsayımı güçlendirir, ancak tarayıcı aracılı yerel erişim bu niyeti atlatabiliyor.

İkinci koşul ise zayıf token doğrulaması. Gönderiye göre açık audience (aud) ve issuer (iss) kontrolleri olmadan kabul edilen token'lar, bir bağlam için üretilmiş bir kimlik bilgisinin başka bir bağlamda geçerli sayıldığı cross-tenant kimlik taklidinin önünü açıyor.

Önerilen önlemler

Yazının sağlamlaştırma önerileri üç başlıkta toplanıyor:

• Açığa çıkan her şeyi geçersiz kılın. Sızan sırları döndürün ve token'ları, sürelerinin dolmasını beklemeden hemen kimlik sağlayıcının panelinden iptal edin.
• Dinleyici yapılandırmasını sıkılaştırın. Geliştirme HTTP dinleyicilerini yalnızca 127.0.0.1'e bağlayın ve rebinding girişimlerinin başarısız olması için açık Host header korumaları ekleyin.
• Her claim'i doğrulayın. Bir token'a güvenilmeden önce aud ve iss kontrollerini zorunlu kılın.

Gönderi ayrıca geliştiricileri, payload'ı üçüncü taraf sunucularına ileten çevrimiçi biçimlendiricilere production token'ları yapıştırmamaları konusunda uyarıyor; imzaların bunun yerine Web Crypto API kullanılarak yerel tarayıcı belleğinde doğrulanmasını öneriyor. DevOmniTools'un çevrimdışı JWT inceleyicisini sıfır yükleme seçeneği olarak tanıtıyor. Yazının örnek doğrulayıcısını kopyalayacaklar için bir uyarı: yayımlanan fonksiyon bir HMAC anahtarı içe aktarıyor ama hesaplanan imzayı hiç karşılaştırmadan true döndürüyor; yani yazıldığı haliyle herhangi bir token'ı kabul ederdi.

Kaynakla ilgili uyarılar

Hikâye şu anda tek bir dev.to gönderisine dayanıyor ve bu gönderi aynı zamanda ürün pazarlaması işlevi görüyor — araştırma DevOmniTools'a atfedilmiş ve yazı okuyucuları defalarca şirketin kendi araçlarına yönlendiriyor. Yazıda etkilenen sürüm aralıkları, yama veya üretici geçici çözümü, CVSS puanı ya da Microsoft'tan veya bir CVE veritabanından birincil bir danışma belgesi bağlantısı bulunmuyor; dolayısıyla kritik derecelendirme, doğrulanmış bir önem düzeyi değil yazarın kendi nitelemesi. Genel teknik argüman — korumasız loopback dinleyicileri ve doğrulanmamış claim'lerin tehlikeli olması — uzun süredir geçerli güvenlik rehberliğiyle örtüşüyor; ancak MSAL Node kullanan ekipler, bu CVE'nin durumunu önceliklendirmeden önce resmî kanallardan teyit etmeli.

Neden önemli

Doğrulanması hâlinde, anlatılan mekanizma sıradan bir geliştirici makinesini uygulamanın güven sınırının bir parçası hâline getiriyor. localhost üzerinde token barındıran veya takas eden her servis, DNS rebinding gibi tarayıcı aracılı hilelerle erişilebilir hâle geliyor; aud veya iss denetimi olmayan çalınmış token'lar ise kiracılar arasında yeniden oynatılabilir. CVE'yi bir kenara bıraksak bile, gönderinin savunduğu alışkanlıklar — açığa çıkan kimlik bilgilerini iptal etmek, her token'da aud ve iss doğrulamak, dinleyicileri dar bağlamak ve canlı token'ları hiçbir zaman bilinmeyen web araçlarına yapıştırmamak — Node geliştirme ortamlarındaki gerçekten yaygın saldırı yollarını kapatan düşük maliyetli değişiklikler.