待验证50% 置信事实精确时间
Perforce的SCIM实现允许使用文档中公开的默认bearer token进行认证，且未强制要求更改，攻击者只需知道token值即可管理员身份调用SCIM API。
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/10/13
首次发现
有效期至：2027/1/11
来源
涉及实体
相关事实
待验证如果认证方案只接收 SCIM 事件但未将其与应用内权限模型打通，用户在 IdP 侧被禁用后应用侧的会话和权限可能仍然有效，这是安全审计中常被标记的漏洞67% 相似待验证Perforce的SCIM PATCH路径解析器未能正确过滤输入，导致攻击者可以构造恶意路径突破预期的属性修改范围，在某些测试中甚至允许执行任意代码。67% 相似待验证Perforce披露了CVE-2026-109758漏洞，该漏洞涉及其SCIM实现中的默认令牌和PATCH路径解析器问题。66% 相似待验证针对游离于SCIM之外的凭证类型，业界通常需要引入机密管理工具（如 HashiCorp Vault、AWS Secrets Manager）或工作负载身份方案（如 SPIFFE/SPIRE）来补充治理62% 相似待验证SCIM端点的安全性不取决于协议本身，而取决于实现细节。60% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1019874API
curl https://kongchang.com/api/v1/knowledge/claims/1019874MCP
get_claim(id=1019874)