CVE-2026-49757

总结

# 通过欺骗绕过认证漏洞 team-alembic AshAuthentication 中存在通过欺骗绕过认证的漏洞，允许攻击者通过 OAuth2/OIDC 登录接管本地用户账户。AshAuthentication 的 OAuth2 和 OIDC 系列策略通过电子邮件地址匹配本地用户（对 email 字段执行 upsert，或使用用户自定义的登录过滤器），而非依据 OpenID Connect 的 iss/sub 声明组合。根据 OpenID Connect Core §5.7，只有 iss/sub 能够唯一且稳定地标识终端用户；其他声明（包括 email）不得用作唯一标识符。当提供商登录时若出示受害者的电子邮件（包括未验证的电子邮件、被复用的电子邮件，或 email_verified: false 的账户），则会解析并登录为受害者的现有本地账户。未认证的攻击者若能在任何被接受的 OAuth 提供商上使用受害者的电子邮件注册账户（或受益于提供商侧的电子邮件复用或回收），即可获得受害者的全部本地权限。该修复通过存储在用户身份资源中的 (strategy, sub) 身份来解析用户，并且仅在提供商的 email_verified 声明可信（trust_email_verified?）时，才将新的 sub 通过电子邮件关联到现有本地账户。此问题影响 ash_authentication 0.1.0 至 4.14.0 之前版本，以及 5.0.0-rc.0 至 5.0.0-rc.10 之前版本。

• ash-authentication-oauth2-oidc-account-takeover-cve-2026-49757-email-based-user-matchingPoC

  CVE-2026-49757 的概念验证漏洞利用程序，演示了 AshAuthentication 中通过基于电子邮件的用户匹配实现的 OAuth2/OIDC 账户接管，包含易受攻击和已修复的处理程序模拟。