CVE-2026-49757

Resumo

# Vulnerabilidade de Bypass de Autenticação por Spoofing em team-alembic AshAuthentication permite a tomada de conta de usuários locais via login OAuth2/OIDC. As estratégias das famílias OAuth2 e OIDC do AshAuthentication correspondiam o usuário local pelo endereço de e-mail (um upsert no campo de e-mail, ou um filtro de login definido pelo usuário) em vez da combinação de claims iss/sub do OpenID Connect. De acordo com o OpenID Connect Core §5.7, apenas iss/sub identificam de forma única e estável um usuário final; outras claims, incluindo e-mail, NÃO DEVEM ser usadas como identificadores únicos. Um login de provedor apresentando o e-mail da vítima, incluindo um e-mail não verificado, um e-mail reutilizado, ou uma conta com email_verified: false, resolvia e autenticava como a conta local existente da vítima. Um atacante não autenticado que possa registrar uma conta em qualquer provedor OAuth aceito com o e-mail da vítima (ou que se beneficie de reutilização ou reivindicação de e-mail no lado do provedor) obtém todos os privilégios locais da vítima. A correção resolve os usuários pela identidade (estratégia, sub) armazenada em um recurso de identidade do usuário, e só vincula um novo sub a uma conta local existente por e-mail quando a claim email_verified do provedor é confiável (trust_email_verified?). Este problema afeta ash_authentication de 0.1.0 antes de 4.14.0 e de 5.0.0-rc.0 antes de 5.0.0-rc.10.

• ash-authentication-oauth2-oidc-account-takeover-cve-2026-49757-email-based-user-matchingPoC

  Exploit de prova de conceito para CVE-2026-49757 demonstrando apropriação de conta OAuth2/OIDC por meio de correspondência de usuários baseada em e-mail no AshAuthentication, com simulações de handlers vulnerável e corrigido.