CVE-2026-49757

Zusammenfassung

# Umgehung der Authentifizierung durch Spoofing-Schwachstelle in team-alembic AshAuthentication ermöglicht die Übernahme lokaler Benutzerkonten über OAuth2/OIDC-Anmeldung Die OAuth2- und OIDC-Strategiefamilien von AshAuthentication haben den lokalen Benutzer anhand der E-Mail-Adresse abgeglichen (ein Upsert auf das E-Mail-Feld oder ein benutzerdefinierter Anmeldefilter) anstatt anhand der Kombination aus OpenID-Connect-`iss`/`sub`-Claims. Gemäß OpenID Connect Core §5.7 identifiziert nur `iss`/`sub` einen Endbenutzer eindeutig und stabil; andere Claims, einschließlich E-Mail, DÜRFEN NICHT als eindeutige Identifikatoren verwendet werden. Eine Provider-Anmeldung, die die E-Mail-Adresse eines Opfers präsentiert – einschließlich einer unverifizierten E-Mail, einer wiederverwendeten E-Mail oder eines Kontos mit `email_verified: false` – wurde dem bestehenden lokalen Konto des Opfers zugeordnet und als dieses angemeldet. Ein nicht authentifizierter Angreifer, der sich bei einem akzeptierten OAuth-Provider mit der E-Mail-Adresse des Opfers registrieren kann (oder von einer provider-seitigen E-Mail-Wiederverwendung oder -Rückforderung profitiert), erhält die vollständigen lokalen Berechtigungen des Opfers. Der Fix löst Benutzer über die in einer Benutzeridentitätsressource gespeicherte (Strategie, `sub`)-Identität auf und verknüpft eine neue `sub` nur dann per E-Mail mit einem bestehenden lokalen Konto, wenn der `email_verified`-Claim des Providers vertrauenswürdig ist (`trust_email_verified?`). Dieses Problem betrifft ash_authentication von 0.1.0 vor 4.14.0 und von 5.0.0-rc.0 vor 5.0.0-rc.10.

• ash-authentication-oauth2-oidc-account-takeover-cve-2026-49757-email-based-user-matchingPoC

  Proof-of-concept-Exploit für CVE-2026-49757, der die OAuth2/OIDC-Übernahme von Konten durch E-Mail-basiertes Benutzer-Matching in AshAuthentication demonstriert, mit Simulationen von angreifbaren und behobenen Handlern.