何が起きたか
OIDC プロバイダの Pocket ID は、client_credentials のトークン要求で渡された resource パラメータを検証せず、そのまま JWT の aud に入れていました。正規の資格情報を持つ OIDC クライアントなら、他のクライアントを宛先とする Pocket ID 署名済みのトークンを取得できます。サービス間認可に client credentials を使い、Pocket ID の JWKS でトークンを検証している環境では、サービス間の分離が破られます。
やること
Go モジュールとして使っている場合は 0.0.0-20260622164202-8158452b3730 以降へ更新し、Pocket ID サーバーは修正を含むリリースへ更新してください。
出典
GitHub Advisory Databasegithub.com英語 ↗Pocket ID のセキュリティ勧告github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。