CVE-2026-41574

Nhost OAuth: pominięcie weryfikacji e-mail umożliwia przejęcie konta

CVSS 9.3v4.0pub. 2026-05-08upd. 2026-05-13

Podatność w Nhost (open source, alternatywa Firebase) pozwala atakującemu na przejęcie dowolnego konta użytkownika poprzez podanie cudzego adresu e-mail podczas logowania OAuth bez faktycznej kontroli nad tym adresem. Błąd klasyfikowany jest jako Auth Bypass o krytycznym poziomie CVSS 9.3.

▸ Pokaż oryginał (EN)

Nhost is an open source Firebase alternative with GraphQL. Prior to version 0.49.1, Nhost automatically links an incoming OAuth identity to an existing Nhost account when the email addresses match. This is only safe when the email has been verified by the OAuth provider. Nhost's controller trusts a profile.EmailVerified boolean that is set by each provider adapter. The vulnerability is that several provider adapters do not correctly populate this field they either silently drop a verified field the provider API actually returns (Discord), or they fall back to accepting unconfirmed emails and marking them as verified (Bitbucket). Two Microsoft providers (AzureAD, EntraID) derive the email from non-ownership-proving fields like the user principal name, then mark it verified. The result is that an attacker can present an email they don't own to Nhost, have the OAuth identity merged into the victim's account, and receive a full authenticated session. This issue has been patched in version 0.49.1.

🤖 Analiza AI

Jak działa

Nhost automatycznie łączy przychodzącą tożsamość OAuth z istniejącym kontem, gdy adresy e-mail są zgodne, zakładając że OAuth provider potwierdził własność adresu. Kontroler aplikacji opiera się na wartości logicznej `profile.EmailVerified` ustawianej przez adaptery poszczególnych providerów. Kilka adapterów błędnie wypełnia to pole: Discord po cichu pomija pole weryfikacji zwracane przez API providera, Bitbucket akceptuje niezatwierdzone adresy e-mail i oznacza je jako zweryfikowane, natomiast adaptery Microsoft (AzureAD, EntraID) wywodzą adres e-mail z pól niepotwierdzających własności (np. user principal name) i również oznaczają go jako zweryfikowany. W efekcie atakujący może przedstawić adres e-mail ofiary, doprowadzić do scalenia tożsamości OAuth z kontem ofiary i uzyskać pełną sesję uwierzytelnioną.

Skutki

Atakujący bez żadnych uprawnień, zdalnie i bez interakcji ze strony ofiary, może przejąć pełną kontrolę nad kontem innego użytkownika i uzyskać uwierzytelnioną sesję z dostępem do jego danych.

Mitygacja

Należy zaktualizować pakiet auth Nhost do wersji 0.49.1 lub nowszej, w której błędna logika weryfikacji e-mail we wspomnianych adapterach OAuth została poprawiona. Patch dostępny w repozytorium GitHub Nhost (tag auth@0.49.1).

Kogo dotyczy

Nhost w wersjach przed 0.49.1, korzystające z adapterów OAuth dla Discord, Bitbucket, AzureAD lub EntraID.

Uwagi

Podatność dotyczy wyłącznie instancji Nhost korzystających z OAuth przez co najmniej jeden z podatnych providerów: Discord, Bitbucket, AzureAD, EntraID. Instancje używające wyłącznie logowania e-mail/hasło lub innych providerów nie są bezpośrednio narażone na ten wektor ataku.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X