CVE-2026-49757

Résumé

# Vulnérabilité de contournement de l'authentification par usurpation dans team-alembic AshAuthentication La vulnérabilité de contournement de l'authentification par usurpation dans team-alembic AshAuthentication permet la prise de contrôle de comptes d'utilisateurs locaux via la connexion OAuth2/OIDC. Les stratégies de la famille OAuth2 et OIDC d'AshAuthentication faisaient correspondre l'utilisateur local par adresse e-mail (un upsert sur le champ e-mail, ou un filtre de connexion défini par l'utilisateur) plutôt que par la combinaison des revendications iss/sub d'OpenID Connect. Selon OpenID Connect Core §5.7, seuls iss/sub identifient de manière unique et stable un utilisateur final ; les autres revendications, y compris l'e-mail, NE DOIVENT PAS être utilisées comme identifiants uniques. Une connexion fournisseur présentant l'e-mail d'une victime, y compris un e-mail non vérifié, un e-mail réutilisé, ou un compte avec email_verified: false, aboutissait à la résolution et à la connexion au compte local existant de la victime. Un attaquant non authentifié qui peut enregistrer un compte sur n'importe quel fournisseur OAuth accepté avec l'e-mail de la victime (ou qui bénéficie de la réutilisation ou de la réclamation d'e-mail côté fournisseur) obtient tous les privilèges locaux de la victime. Le correctif résout les utilisateurs par l'identité (stratégie, sub) stockée dans une ressource d'identité utilisateur, et ne lie un nouveau sub à un compte local existant par e-mail que lorsque la revendication email_verified du fournisseur est fiable (trust_email_verified?). Ce problème affecte ash_authentication de 0.1.0 avant 4.14.0 et de 5.0.0-rc.0 avant 5.0.0-rc.10.

• ash-authentication-oauth2-oidc-account-takeover-cve-2026-49757-email-based-user-matchingPoC

  Exploit de preuve de concept pour CVE-2026-49757 démontrant une prise de contrôle de compte OAuth2/OIDC via la correspondance des utilisateurs par e-mail dans AshAuthentication, avec des simulations de gestionnaires vulnérable et corrigé.