CVE-2026-49757

Riepilogo

# Vulnerabilità di Bypass dell'Autenticazione tramite Spoofing in AshAuthentication La vulnerabilità di Bypass dell'Autenticazione tramite Spoofing in team-alembic AshAuthentication consente il furto di account di utenti locali tramite accesso OAuth2/OIDC. Le strategie delle famiglie OAuth2 e OIDC di AshAuthentication abbinavano l'utente locale tramite indirizzo email (un upsert sul campo email, o un filtro di accesso definito dall'utente) piuttosto che tramite la combinazione delle rivendicazioni iss/sub di OpenID Connect. Secondo OpenID Connect Core §5.7, solo iss/sub identifica in modo univoco e stabile un utente finale; altre rivendicazioni, inclusa l'email, NON DEVONO essere utilizzate come identificatori univoci. Un accesso tramite provider che presentava l'email della vittima, inclusa un'email non verificata, un'email riutilizzata, o un account con email_verified: false, risolveva e accedeva come account locale esistente della vittima. Un attaccante non autenticato che può registrare un account su qualsiasi provider OAuth accettato con l'email della vittima (o che beneficia del riutilizzo o della reclamazione dell'email lato provider) ottiene tutti i privilegi locali della vittima. La correzione risolve gli utenti tramite l'identità (strategia, sub) memorizzata in una risorsa di identità utente, e collega un nuovo sub a un account locale esistente tramite email solo quando la rivendicazione email_verified del provider è attendibile (trust_email_verified?). Questo problema riguarda ash_authentication dalla versione 0.1.0 prima della 4.14.0 e dalla 5.0.0-rc.0 prima della 5.0.0-rc.10.

• ash-authentication-oauth2-oidc-account-takeover-cve-2026-49757-email-based-user-matchingPoC

  Exploit prova di concetto per CVE-2026-49757 che dimostra il takeover di account OAuth2/OIDC tramite matching utente basato su email in AshAuthentication, con simulazioni di handler vulnerabile e corretto.