CVE-2026-88952

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 4.14.0 até 4.14.x ash authentication versões 5.0.0-rc.10 até 5.0.0-rc.13

Description Uma falha de autenticação inadequada permite que um invasor acesse a conta de outro usuário ao vincular uma identidade OAuth2 a uma conta que não lhe pertence. A função AshAuthentication.Strategy.OAuth2.UserResolver.resolve/3 localiza uma conta existente usando chaves upsert identity e valida o vínculo através de email trusted?/2. No entanto, essa verificação apenas lê o booleano email verified do provedor e não compara o valor do e-mail do provedor com o e-mail da conta correspondente. Essa falha também ocorre em OAuth2.SignInPreparation quando registration enabled? é falso e a conta é localizada pelo filtro de leitura da ação de login. Um invasor com um e-mail verificado em um provedor pode obter uma sessão para uma conta correspondida por outro atributo. Além disso, o processo sobrescreve o e-mail da conta correspondente para o endereço do invasor, permitindo que este intercepte futuras tentativas de recuperação de conta.

Recommendations Atualize o ash authentication para a versão 4.15.0 ou posterior. Atualize o ash authentication para a versão 5.0.0-rc.14 ou posterior. Defina trust email verified? como false na estratégia afetada para recusar o login. Configure o upsert identity da ação de registro ou o filtro de leitura da ação de login para utilizar o atributo de e-mail.