何が起きたか
Logto（SaaSおよびAIアプリ向けのオープンソース認証基盤）バージョン1.31.0-1.42.0：Account APIハンドラにより、openidスコープのみを持つ同一ユーザーのアクセストークンを保持する呼び出し元が、保存されたソーシャルまたはエンタープライズのサードパーティトークンを取得でき、付与されたスコープを超えてリンクされたアカウントの認証情報が露出する。1.43.0で修正された。
なぜ重要か
LogtoはAIアプリおよびエージェントの認証層として位置づけられている。保存されたサードパーティ（ソーシャル/エンタープライズ）トークンは、まさにエージェンティックな統合が依存するものである。openidのみのトークンがこれらを開示することは、AIアプリがユーザーに代わって行動するために使用する認証情報を漏洩させ得るスコープ昇格である。
攻撃経路
同一ユーザーのopenidのみのアクセストークンを持つ呼び出し元が、Account APIのサードパーティトークンハンドラにアクセスし、保存されたソーシャル/エンタープライズOAuthトークンを読み取る。
影響を受けるシステム
Logto 1.31.0-1.42.0（1.43.0で修正）
緩和策
Logto 1.43.0+にアップグレードすること。露出したサードパーティトークンをローテーションすること。