Media

WildFly Elytron OpenID Connect Client ExtensionOIDC authorization code injection attack

Publicada: 25.03.2025
Actualizado: 11.10.2026 13:20

Impact

A vulnerability was found in OIDC-Client. When using the elytron-oidc-client subsystem with WildFly, authorization code injection attacks can occur, allowing an attacker to inject a stolen authorization code into the attacker's own session with the client with a victim's identity. This is usually done with a Man-in-the-Middle (MitM) or phishing attack.

Patches

2.2.9.Final 2.6.2.Final

Workarounds

Currently, no mitigation is currently available for this vulnerability.

References

https://nvd.nist.gov/vuln/detail/CVE-2024-12369 https://access.redhat.com/security/cve/CVE-2024-12369 https://bugzilla.redhat.com/show_bug.cgi?id=2331178 https://issues.redhat.com/browse/ELY-2887

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.wildfly.security:wildfly-elytron	>= 1.17.0.Final, < 2.2.9.Final, >= 2.3.0.Final, < 2.6.2.Final	2.2.9.Final, 2.6.2.Final
Java / Kotlin (Maven)	org.wildfly.security:wildfly-elytron-http-oidc	>= 1.17.0.Final, < 2.2.9.Final, >= 2.3.0.Final, < 2.6.2.Final	2.2.9.Final, 2.6.2.Final

Referencias

Puntuación CVSS 4.2/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N
Debilidad (CWE): CWE-345
Plataforma: Java / Kotlin (Maven)
Paquete: org.wildfly.security:wildfly-elytron, org.wildfly.security:wildfly-elytron-http-oidc
Publicada: 25.03.2025
Actualizado: 11.10.2026 13:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-5565-3c98-g6jc - CC BY 4.0

Historial de vulnerabilidades: org.wildfly.security:wildfly-elytron

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 5
Primera → última: 02.2022 03.2025
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 3
Media 2

Divulgaciones por año

2022: 3
2023: 1
2024: 0
2025: 1
2026: 0

25.03.2025

WildFly Elytron OpenID Connect Client ExtensionOIDC authorization code injection attack esta entrada

Media · 4.2 CVE-2024-12369 >= 1.17.0.Final, < 2.2.9.Final, >= 2.3.0.Final, < 2.6.2.Final 2.2.9.Final, 2.6.2.Final
13.01.2023

Wildfly-elytron possibly vulnerable to timing attacks via use of unsafe comparator

Alta · 7.4 CVE-2022-3143 < 1.15.15.Final, >= 1.16.0.CR1, < 1.20.3.Final 1.15.15.Final, 1.20.3.Final
24.05.2022

Observable Discrepancy in Wildfly Elytron

Media · 5.3 CVE-2021-3642 < 1.10.14, >= 1.11.0, < 1.15.5, >= 1.16.0, < 1.16.1 1.10.14, 1.15.5, 1.16.1
15.02.2022

Session Fixation in WildFly Elytron

Alta · 7.5 CVE-2020-10714 < 1.11.4 1.11.4
15.02.2022

Incorrect Authorization in WildFly Elytron

Alta · 7.5 CVE-2020-1748 < 1.6.8 1.6.8

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación