CVE-2026-49757

ملخص

# ثغرة تجاوز المصادقة عبر الانتحال في AshAuthentication تسمح بالاستيلاء على الحسابات المحلية عبر تسجيل الدخول OAuth2/OIDC تسمح ثغرة تجاوز المصادقة عبر الانتحال في team-alembic AshAuthentication بالاستيلاء على الحسابات المحلية للمستخدمين عبر تسجيل الدخول OAuth2/OIDC. كانت استراتيجيات عائلة OAuth2 وOIDC في AshAuthentication تطابق المستخدم المحلي عبر عنوان البريد الإلكتروني (upsert على حقل البريد الإلكتروني، أو مرشح تسجيل دخول معرّف من قبل المستخدم) بدلاً من الاعتماد على مجموعة ادعاءات iss/sub الخاصة بـ OpenID Connect. وفقًا لـ OpenID Connect Core §5.7، فقط iss/sub يحددان المستخدم النهائي بشكل فريد ومستقر؛ ولا يجوز استخدام ادعاءات أخرى، بما في ذلك البريد الإلكتروني، كمعرّفات فريدة. تسجيل الدخول عبر مزود يعرض بريدًا إلكترونيًا للضحية، بما في ذلك بريد إلكتروني غير موثّق، أو بريد معاد استخدامه، أو حساب مع email_verified: false، تم حله وتسجيل الدخول به كحساب محلي موجود للضحية. المهاجم غير المصادق الذي يمكنه تسجيل حساب على أي مزود OAuth مقبول باستخدام بريد الضحية الإلكتروني (أو من يستفيد من إعادة استخدام البريد أو استرداده من جانب المزود) يحصل على كامل صلاحيات الضحية المحلية. الإصلاح يحل المستخدمين عبر هوية (strategy, sub) المخزنة في مورد هوية المستخدم، ويربط فقط sub جديد بحساب محلي موجود عبر البريد الإلكتروني عندما يكون ادعاء email_verified من المزود موثوقًا (trust_email_verified?). تؤثر هذه المشكلة على ash_authentication من 0.1.0 قبل 4.14.0 ومن 5.0.0-rc.0 قبل 5.0.0-rc.10.

• ash-authentication-oauth2-oidc-account-takeover-cve-2026-49757-email-based-user-matchingPoC

  إثبات مفهوم لاستغلال CVE-2026-49757 يوضح الاستيلاء على الحساب عبر OAuth2/OIDC من خلال مطابقة المستخدمين المعتمدة على البريد الإلكتروني في AshAuthentication، مع محاكاة للمعالج الهش والمعالج المُصحَّح.