Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-3532 là lỗ hổng Improper Handling of Case Sensitivity ảnh hưởng tới OpenID Connect / OAuth client (phiên bản bị ảnh hưởng: 0.0.0 – < 1.5.0). Lỗ hổng này được xếp hạng ở mức Trung bình, với điểm CVSS 4.2. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Lỗi xử lý không đúng tính phân biệt chữ hoa chữ thường trong Drupal OpenID Connect / OAuth client cho phép leo thang đặc quyền. Lỗi này ảnh hưởng đến OpenID Connect / OAuth client: từ 0.0.0 đến trước 1.5.0.
0.0.0 đến trước 1.5.0; trạng thái mặc định ngoài khoảng này được ghi là unaffected.<1.5.0 và nêu cụ thể nhánh OpenID Connect 8.x-1.x cần nâng cấp lên 8.x-1.5.Drupal OpenID Connect / OAuth client sử dụng một nhà cung cấp OpenID Connect bên ngoài để xác thực người dùng và tạo tài khoản Drupal trong lần đăng nhập đầu tiên. Advisory cho biết module không kiểm tra đầy đủ tính duy nhất của một số trường người dùng trong mọi tổ hợp database engine và collation. Trong trường hợp được mô tả, các địa chỉ email chỉ khác nhau về chữ hoa chữ thường có thể được chấp nhận như các tài khoản riêng biệt, tạo ra lỗi về tính toàn vẹn dữ liệu và có khả năng ảnh hưởng đến việc liên kết danh tính. Input do attacker kiểm soát là các thuộc tính tài khoản do identity provider cung cấp, đặc biệt là email. Bản ghi chuẩn hóa mô tả đường tấn công qua network, yêu cầu quyền thấp, không cần user interaction và có attack complexity cao, nhưng advisory không nêu chi tiết request sequence hoặc chính xác privilege boundary bị vượt qua.
Khi module được bật và tích hợp với external identity provider, luồng đăng nhập OpenID Connect có thể được truy cập qua network. Bản ghi chuẩn hóa đánh giá attacker chỉ cần quyền thấp, không cần user interaction và phải vượt qua điều kiện có attack complexity cao; advisory không giải thích cụ thể quyền ban đầu đó là gì. Vendor mô tả điều kiện liên quan đến lần đăng nhập đầu tiên qua identity provider và việc tạo tài khoản Drupal, nhưng không công bố exploit sequence có thể tái hiện. Bản ghi không xác nhận hoạt động khai thác đã biết và không xác định public exploit; sự thiếu vắng thông tin này không chứng minh rằng chưa từng có khai thác.
Lỗi làm suy yếu tính duy nhất của danh tính người dùng khi các giá trị chỉ khác nhau về chữ hoa chữ thường được xử lý phụ thuộc vào database engine và collation. Kết quả trực tiếp được vendor mô tả là có thể tạo nhiều tài khoản dùng cùng email và gây data integrity issues. Bản ghi chuẩn hóa cho thấy tác động đến confidentiality và integrity ở mức thấp, không xác định tác động đến availability, và giữ scope ở cùng hệ thống. Mô tả gốc nêu privilege escalation, nhưng vendor advisory không chỉ ra cụ thể đặc quyền nào có thể bị chiếm hoặc thao tác nào chứng minh được việc leo thang; phần này vẫn chưa rõ.
Các site dùng Drupal OpenID Connect / OAuth client có thể phát sinh nhiều tài khoản được xem là khác nhau dù dùng cùng một địa chỉ email không phân biệt hoa thường. Advisory cho biết lỗi này có thể gây data integrity issues và được phân loại là access bypass. Tùy cách site liên kết tài khoản với danh tính từ identity provider, dữ liệu trùng có thể dẫn đến nhầm lẫn danh tính hoặc thay đổi quyền truy cập, nhưng không có bằng chứng trong advisory về một breach cụ thể. Bản ghi chuẩn hóa không xác định tác động đến availability.
8.x-1.x, cài đặt OpenID Connect 8.x-1.5.openid_connect và xác định phiên bản đang triển khai.users_field_data để tìm các địa chỉ email chỉ khác nhau về chữ hoa chữ thường, sử dụng dạng chuẩn hóa như LOWER(mail) và xem xét langcode khi nhóm dữ liệu.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
