CVE-2026-49757

Резюме

Уязвимость обхода аутентификации путем спуфинга в team-alembic AshAuthentication позволяет захватить учётную запись локальных пользователей через вход через OAuth2/OIDC. Стратегии семейств OAuth2 и OIDC в AshAuthentication сопоставляли локального пользователя по адресу электронной почты (upsert по полю email или пользовательский фильтр входа), а не по комбинации утверждений iss/sub OpenID Connect. Согласно OpenID Connect Core §5.7, только iss/sub однозначно и стабильно идентифицируют конечного пользователя; другие утверждения, включая email, НЕ ДОЛЖНЫ использоваться в качестве уникальных идентификаторов. Вход через провайдера с предъявлением email жертвы, включая непроверенный email, повторно используемый email или учётную запись с email_verified: false, разрешался и выполнял вход как существующая локальная учётная запись жертвы. Неаутентифицированный злоумышленник, который может зарегистрировать учётную запись у любого принимаемого OAuth-провайдера с email жертвы (или которому выгодно повторное использование или восстановление email на стороне провайдера), получает полные локальные привилегии жертвы. Исправление определяет пользователей по идентичности (strategy, sub), хранящейся в ресурсе идентичности пользователя, и связывает новый sub с существующей локальной учётной записью по email только тогда, когда утверждение email_verified провайдера считается доверенным (trust_email_verified?). Эта проблема затрагивает ash_authentication с версии 0.1.0 до 4.14.0 и с версии 5.0.0-rc.0 до 5.0.0-rc.10.

• ash-authentication-oauth2-oidc-account-takeover-cve-2026-49757-email-based-user-matchingPoC

  Эксплойт доказательства концепции для CVE-2026-49757, демонстрирующий захват учетной записи OAuth2/OIDC через сопоставление пользователей по электронной почте в AshAuthentication, с моделированием уязвимых и исправленных обработчиков.