CVE-2026-49757

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 0.1.0 até 4.13.x ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.9

Description Uma falha de bypass de autenticação por spoofing permite a invasão de contas de usuários locais durante o login via OAuth2 ou OIDC. O problema ocorre porque o software associa usuários locais pelo endereço de e-mail em vez de utilizar a combinação de claims iss (issuer) e sub (subject) do OpenID Connect, que são os únicos identificadores estáveis e únicos para um usuário final. Um invasor não autenticado pode registrar uma conta em um provedor OAuth aceito usando o e-mail de uma vítima — incluindo e-mails não verificados ou reutilizados — para obter privilégios locais totais da conta da vítima.

Recommendations Atualizar as versões 0.1.0 até 4.13.x para a versão 4.14.0. Atualizar as versões 5.0.0-rc.0 até 5.0.0-rc.9 para a versão 5.0.0-rc.10.