Ibonok

Existe uma falha de bypass de autenticação nas interfaces de usuário (UIs) hospedadas Login V1 e Login V2. O sistema permite o registro de uma passkey ou outro autenticador durante sessões de login apenas para identificação, antes que qualquer fator primário seja verificado. Um invasor não autenticado que conheça o nome de login de uma vítima pode registrar um autenticador controlado pelo invasor para obter acesso não autorizado à conta, ignorando senhas e a autenticação de múltiplos fatores (MFA).

Existe uma falha de bypass de autenticação na interface de usuário Login V1 hospedada. O problema ocorre porque o endpoint de registro para contas externas não encontradas confia em campos de identidade externa fornecidos pelo cliente sem a necessidade de um callback de Provedor de Identidade (IdP) concluído. Um invasor não autenticado pode enviar valores forjados de `IDPConfigID` e `ExternalUserID` para pré-criar uma conta vinculada à identidade de IdP externo de uma vítima. Quando a vítima posteriormente realiza um login externo legítimo, ela é autenticada na conta pré-criada.