CVE-2026-118554

Nome do Software Vulnerável e Versões Afetadas Drupal OpenID Connect Client versões 0.0.0 a 2.3.1

Descrição Existe uma falha de bypass de autenticação no módulo que permite a autenticação via protocolo OpenID Connect (oAuth2). Quando um novo usuário faz login, o módulo tenta vincular o usuário a uma conta existente com o mesmo endereço de e-mail. Isso permite assumir o controle de qualquer conta Drupal existente, exceto o usuário 1, desde que a conta ainda não tenha sido vinculada a um usuário OpenID Connect. Este problema é mitigado pelo fato de que o site deve estar configurado para usar um provedor que não verifique o endereço de e-mail do usuário.

Recomendações Atualize o Drupal OpenID Connect Client para uma versão posterior à 2.3.1.