ash_authentication OAuth2 Account Takeover via Missing Email Verification (CVE-2026-48952)

漏洞总结：OAuth2 登录时未校验邮箱一致性 漏洞概述 CVE ID：CVE-2026-48952 严重等级：High（CVSS 7.4/10） 包： (Elixir) 核心问题：在 OAuth2 登录流程中，当 启用时，系统仅依据 provider 的 布尔值决定是否将登录者绑定到已有账户，而从不比较 provider 邮箱与已匹配账户的邮箱是否一致。若注册者 不是邮箱字段，攻击者可用自己的已验证邮箱登录并绑定到他人账户，从而接管账户。 影响范围 受影响版本： 和 已修复版本： 、 影响： - 攻击者无需与受害者交互、无需预注册即可接管账户（已用 PostgREST 端到端验证）。 - 攻击者用 OAuth 登录， 指向受害者，upsert 覆盖 中的邮箱属性为攻击者邮箱；后续密码重置会发给攻击者，从而完全接管。 - 在 sign-in 路径中， 对 路径使用 作为双重 ，同样存在该缺陷，且更严重（注册路径在刷新时回退到 sign-in 路径）。 - 在 5.0 行中，OAuth 生成器由受支持的命令生成， 选项可设为 ；在 4.x 行中，OAuth 生成器是手写的， 资源必须持有 属性，否则比较会出错。 修复方案 1. 核心修复：在绑定前比较 provider 邮箱与已匹配账户的邮箱，或将 分支限定为 是邮箱字段。 2. 缓解措施（未升级时）： - 将受影响策略的 设为 （唯一能同时关闭两条路径的单一改动）。 - 将注册者的 键改为邮箱属性。 3. 注意事项： - 若资源用 属性存储邮箱，需将策略的 设为该属性，否则比较会出错。 - 已链接的账户不会被覆盖，但攻击者可能覆盖 指向的账户。 - 部署使用非邮箱 的 OAuth 策略时，应审查 指向的账户，若 provider 邮箱与已链接账户邮箱不匹配，应视为账户邮箱被意外覆盖。 POC / 利用代码 页面中未包含独立的 POC 代码块，但描述了利用机制： 攻击者用 OAuth 登录， 指向受害者，upsert 覆盖 中的邮箱属性为攻击者邮箱。 后续密码重置会发给攻击者，从而完全接管账户。

目標達成すべての支援者に感謝 — 100%達成しました！

ash_authentication OAuth2 Account Takeover via Missing Email Verification (CVE-2026-48952)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

ash_authentication OAuth2 Account Takeover via Missing Email Verification (CVE-2026-48952)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！