PT-2026-70235

CVE-2026-18639

Publicado

2026-08-11

Atualizado

2026-10-06

Descrição por

CVSS 3.1

7.3

Alta

MétricasAV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Velociraptor (versões afetadas não especificadas)

Descrição Quando configurado para usar um Provedor de Identidade (IdP) OpenID Connect (OIDC) para autenticação, o software utiliza a reivindicação de e-mail como nome de usuário. Como alguns IdPs permitem que os usuários modifiquem a reivindicação de e-mail sem verificação ou não definem a reivindicação email verified, um invasor pode personificar outro usuário alterando seu endereço de e-mail no IdP, resultando no sequestro de conta.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Leonardo Souza

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-290: Authentication Bypass by Spoofing

Identificadores relacionados

CVE-2026-18639