CVE-2020-26254

Versões do omniauth-apple anteriores à 1.0.1

A vulnerabilidade permite que invasores falsifiquem seu endereço de e-mail durante a autenticação, afetando aplicativos que utilizam a estratégia omniauth-apple do OmniAuth e o campo info.email para identificação. O valor de info.email pode ser definido como qualquer valor, incluindo endereços de e-mail de outros usuários. Aplicativos que não utilizam info.email para identificação, mas utilizam o campo uid, não são afetados da mesma forma, embora ainda possam ser afetados negativamente se info.email for utilizado para outros fins.

Para resolver o problema, atualize para a versão 1.0.1 ou posterior do omniauth-apple.

Como solução alternativa temporária, considere aplicar um patch no OmniAuth::Strategies::Apple#email para usar id info[‘email’] em vez disso.