PT-2026-130583
CVE-2026-118554
·
Publicado
2026-10-28
·
Atualizado
2026-10-30
Descrição por
Pontuação
N/A
Não disponívelNão há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do Software Vulnerável e Versões Afetadas
Drupal OpenID Connect Client versões 0.0.0 a 2.3.1
Descrição
Existe uma falha de bypass de autenticação no módulo que permite a autenticação via protocolo OpenID Connect (oAuth2). Quando um novo usuário faz login, o módulo tenta vincular o usuário a uma conta existente com o mesmo endereço de e-mail. Isso permite assumir o controle de qualquer conta Drupal existente, exceto o usuário 1, desde que a conta ainda não tenha sido vinculada a um usuário OpenID Connect. Este problema é mitigado pelo fato de que o site deve estar configurado para usar um provedor que não verifique o endereço de e-mail do usuário.
Recomendações
Atualize o Drupal OpenID Connect Client para uma versão posterior à 2.3.1.
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾