CVE-2026-18639
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Gdy Velociraptor jest skonfigurowany do używania OIDC IdP do uwierzytelniania, używa claimu email jako nazwy użytkownika. Jednak niektóre IdP pozwalają użytkownikom na zmianę claimu email bez weryfikacji. Niektóre IdP nie ustawiają claimu "email_verified" i nie weryfikują faktycznie adresu email. Pozwala to użytkownikowi na podszycie się pod innego użytkownika poprzez ustawienie swojego adresu email w IdP, co umożliwia przejęcie konta.
Ocena ryzyka
Ryzyko obejmuje możliwość przejęcia konta innego użytkownika, co może prowadzić do nieautoryzowanego dostępu do danych i zasobów. Może to również naruszyć integralność i poufność systemu.
Rekomendacja
Zaleca się skonfigurowanie IdP w taki sposób, aby weryfikował adresy email i ustawiał claim "email_verified". Należy również rozważyć użycie innego identyfikatora użytkownika, takiego jak sub, zamiast email.
Oryginalny opis (angielski, źródło NVD)
When Velociraptor is configured to use an OIDC IdP for authentication, it uses the email claim as a username. However, some IdP allow users to change the email claim without verification. Some IdPs do not set the "email_verified" claim and do not actually verify the email. This allows a user to impersonate another user by setting their email address within the IdP, allowing account takeover.