CVE-2026-44166

सारांश

Pocketbase एक ओपन सोर्स वेब बैकएंड है जो Go में लिखा गया है। 0.22.42 और 0.37.4 से पहले, कुछ स्थितियों में, यदि कोई हमलावर पीड़ित का ईमेल पता जानता है, तो वह पहले से एक असत्यापित PocketBase उपयोगकर्ता बना सकता है और उसे लिंक कर सकता है, ऐसा OAuth2 ऐप प्रदाताओं में से किसी एक, जैसे "A", के साथ प्रमाणीकरण करके। जब पीड़ित को आमंत्रित किया जाता है या वह स्वयं प्रदाता "B" के साथ आपके ऐप में साइन अप करने का निर्णय लेता है (PocketBase OAuth2 प्रमाणीकरण के लिए एक अलग प्रदाता के साथ होना आवश्यक है क्योंकि हम एक ही प्रदाता के कई OAuth2 खातों को एक ही PocketBase उपयोगकर्ता से जोड़ने की अनुमति नहीं देते हैं), तो हमलावर द्वारा पहले बनाया गया उपयोगकर्ता स्वचालित रूप से लिंक हो जाएगा, "सत्यापित" में अपग्रेड हो जाएगा और उसका पुराना पासवर्ड रीसेट हो जाएगा। यह भेद्यता 0.22.42 और 0.37.4 में ठीक कर दी गई है।

• pocketbase-CVE-2026-44166PoC

  लैब + राइटअप CVE-2026-44166 के लिए: अमान्य createData.email के माध्यम से PocketBase OAuth2 खाता प्री-हाइजैकिंग