CVE-2026-51584

Nome do Software Vulnerável e Versões Afetadas usememos versão 0.27.1

Description Um atacante remoto pode realizar o sequestro de conta através do ramo ssoCredentials do manipulador SignIn no endpoint '/api/v1/auth service.go'. Isso ocorre porque a identidade SSO é correspondida usando um identificador controlável pelo atacante, sem estar vinculada ao stable subject claim do Provedor de Identidade (IdP), que é um identificador único e imutável para um usuário dentro do IdP.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.