Një analizë e publikuar nga DevOmniTools Security Research përshkruan CVE-2026-109461 si një mekanizëm kritik rrjedhjeje të tokenëve dhe kredencialeve në mjediset e zhvillimit. Sipas njoftimit të datës 23 tetor 2026, rrjedha e kodit të autorizimit në MSAL Node mund të zbulojë parametra te një endpoint i kontrolluar nga sulmuesi.
Teksti e lidh rrezikun me ekspozimin e shërbimeve lokale loopback dhe konfigurimin e gabuar të atributeve të cookie-ve. Në serverë zhvillimi ose kontejnerë të përbashkët, mungesa e mbrojtjes nga DNS rebinding mund t’u lejojë skripteve apo iframe-ve keqdashëse të aksesojnë portën lokale. Mungesa e verifikimit të audiencës (aud) dhe lëshuesit (iss) të tokenëve mund të mundësojë marrjen e identitetit mes tenantëve.
Për kontrollin e tokenëve, analiza rekomandon përpunimin vetëm në memorien lokale të shfletuesit me Web Crypto API, pa dërguar kredenciale në serverë të palëve të treta. Ajo paralajmëron kundër vendosjes së kredencialeve të mjedisit të prodhimit në mjete online që transmetojnë të dhëna jashtë pajisjes.
Masat e rekomanduara përfshijnë revokimin e tokenëve të ekspozuar, zëvendësimin e menjëhershëm të sekreteve të rrjedhura dhe kufizimin e shërbimeve HTTP të zhvillimit në 127.0.0.1, me kontrolle të qarta të header-it Host.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
