What is CVE-2026-13089?
CVE-2026-13089 affects OIDC::Lite for Perl up to version 0.12.1, allowing ID Token signature verification bypass via a token-controlled algorithm in `verify`. Attackers can manipulate the `alg` parameter from the token header to circumvent security. Developers must pin the algorithm explicitly and upgrade the library.
Azərbaycanca: CVE-2026-13089 Perl üçün OIDC::Lite kitabxanasının 0.12.1-ə qədər olan versiyalarında "ID Token" imza doğrulamasını keçməyə imkan verən boşluqdur. Zərərli şəxs tokenin öz başlığındakı alqoritmi idarə edərək yoxlamanı yan keçə bilər. Tərtibatçılar tətbiqlərində alqoritmi mütləq şəkildə təyin etməli (pin) və kitabxananı yeniləməlidirlər.
Related CVEs
link basis: same weakness class CWE-287
FAQ2
Which Perl library is affected by CVE-2026-13089 and what is the root cause?
CVE-2026-13089 affects the OIDC::Lite library for Perl up to version 0.12.1. The vulnerability allows ID Token signature verification bypass by manipulating the `alg` algorithm from the token header.
What must developers do to protect against CVE-2026-13089?
Developers must upgrade the OIDC::Lite library and explicitly pin the algorithm in their applications to prevent the verification bypass.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.