CVE-2026-102631

Nome do Software Vulnerável e Versões Afetadas authd versões anteriores a 0.7.1

Descrição A correspondência de identidade do usuário na função UpdateUser() (localizada em internal/users/manager.go) resolve logins usando um ID de provedor com escopo de broker. Se o ID do provedor não for reconhecido, o sistema retorna à correspondência pelo nome de usuário, sem rejeitar IDs de provedores não vazios que sejam conflitantes. Se um provedor de identidade reatribuir um endereço de e-mail (usado como nome de usuário) a uma nova conta, essa nova conta herda o UID local e o diretório home do usuário anterior ao fazer login. Isso permite que o novo usuário acesse e modifique arquivos do usuário anterior, incluindo chaves SSH e tokens de API de nuvem, vinculando silenciosamente o registro da conta local à nova identidade.

Recomendações Atualize para a versão 0.7.1 ou posterior. Bloqueie ou exclua a conta local do authd do usuário anterior quando a conta do provedor de identidade correspondente for removida.