CVE-2026-9092
KrytyczneCVSS 9.1Streszczenie
Wersje Casdoor 2.362.0 i wcześniejsze zawierają podatność związaną z niezaufanym powiązaniem adresu e-mail, co może umożliwić przejęcie konta. Funkcja getExistUserByBindingRule dopasowuje użytkowników na podstawie adresu e-mail bez weryfikacji atrybutu email_verified od dostawców zewnętrznych.
Ocena ryzyka
Atakujący może dostarczyć niezaufany atrybut e-mail z dostawcy zewnętrznego, co prowadzi do przejęcia kont, które używają tego samego adresu e-mail. To stwarza poważne ryzyko dla bezpieczeństwa kont użytkowników w organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Casdoor, która wprowadza weryfikację atrybutu email_verified. Dodatkowo, warto wdrożyć dodatkowe mechanizmy zabezpieczające przy rejestracji i logowaniu użytkowników.
Oryginalny opis (angielski, źródło NVD)
Casdoor versions 2.362.0 and earlier contain a vulnerability involving unverified email binding that may enable account takeover. The getExistUserByBindingRule function matches users by email without checking the email_verified claim from upstream providers; the idp.UserInfo struct does not even include a EmailVerified field. An attacker can supply an unverified email claim from an upstream provider to take over accounts that use the same email address.