Prowler · Prowler · CVE-2026-100169
**Nome do Software Vulnerável e Versões Afetadas**
Prowler versões 5.4.0 até 5.34.9
Prowler versões anteriores a 5.30.3
**Description**
Existem dois problemas de autenticação distintos na API do Prowler. Primeiro, uma falha no processo de vinculação de contas sociais permite que um invasor remoto não autenticado obtenha acesso persistente a contas. A função `ProwlerSocialAccountAdapter.pre social login()` em `api/src/backend/api/adapters.py` vincula logins do Google ou GitHub a contas locais baseando-se apenas no endereço de e-mail correspondente, sem verificar o endereço ou confirmar a propriedade. Isso é agravado pelo auto-registro aberto em `UserViewSet.get permissions()` e pela desativação da verificação de e-mail em `ACCOUNT EMAIL VERIFICATION`. Um invasor pode registrar o e-mail de uma vítima primeiro e, quando o proprietário real fizer login posteriormente via provedor social, ele será logado na conta do invasor, concedendo a este acesso a credenciais de provedores de nuvem, resultados de varredura e associações de locatários.
Segundo, um sequestro de conta entre locatários (cross-tenant) é possível através do fluxo de autenticação SAML. O sistema confiava no domínio de e-mail afirmado em um `SAMLResponse` para determinar o locatário de destino. Especificamente, a lógica de finalização do ACS em `api/src/backend/api/v1/views.py` recalculava o locatário usando a variável `user.email` em vez da configuração SAML validada. Um invasor autenticado com um Provedor de Identidade (IdP) SAML controlado poderia afirmar um e-mail de outro domínio configurado para obter um `SAMLToken` e um JWT com escopo de locatário para um locatário diferente. Isso permite acesso total de leitura/gravação aos resultados de auditoria de segurança em nuvem da vítima e a capacidade de movimentação lateral para outros locatários através do endpoint `/api/v1/tokens/switch`.
**Recommendations**
Atualize o Prowler para a versão 5.35.0 ou posterior para resolver o problema de vinculação de contas sociais.
Atualize o Prowler para a versão 5.30.3 ou posterior para resolver o problema de vinculação de locatário SAML.
Como mitigação temporária para o problema SAML, certifique-se de que o fluxo de finalização do ACS verifique se o `organization slug` da rota ACS, o `SAMLConfiguration.email domain` e o domínio do e-mail do usuário SAML afirmado coincidem antes de emitir um token.