CVE-2026-100169 in Prowler
الملخص
بحسب VulDB • 14/10/2026
Authentication impropria nel percorso di collegamento dell'account social nell'API Prowler di Prowler (dalla versione 5.4.0 alla 5.35.0) consente a un attaccante remoto non autenticato di ottenere accesso persistente all'account di un utente che non si è ancora registrato, poiché `ProwlerSocialAccountAdapter.pre_social_login()` in `api/src/backend/api/adapters.py` collega una login Google o GitHub a qualsiasi account locale esistente con lo stesso indirizzo email restituito dal provider, senza richiedere la verifica dell'indirizzo da parte del provider o sull'account esistente e senza altri controlli che confermino l'appartenenza degli account alla stessa persona. La registrazione autonoma è aperta e il nuovo account è immediatamente utilizzabile, poiché `UserViewSet.get_permissions()` in `api/src/backend/api/v1/views.py` concede `AllowAny` all'azione di creazione, la configurazione `ACCOUNT_EMAIL_VERIFICATION` è impostata su `none` in `api/src/backend/config/settings/social_login.py`, e l'autenticazione Django ModelBackend verifica solo password e stato attivo (`is_active`), non il record EmailAddress di django-allauth. Un attaccante che registra un indirizzo email prima del suo proprietario mantiene la password impostata durante la registrazione dopo il collegamento, poiché `sociallogin.connect()` non reimposta la password né disabilita l'account esistente; pertanto, il proprietario successivo che accede con Google o GitHub viene effettuato nell'account dell'attaccante. django-allauth effettua lo stesso tipo di collegamento basato su email autonomamente, poiché le configurazioni `SOCIALACCOUNT_EMAIL_AUTHENTICATION` e `SOCIALACCOUNT_EMAIL_AUTHENTICATION_AUTO_CONNECT` sono entrambe impostate su True nello stesso modulo delle impostazioni. Ciò fornisce all'attaccante le credenziali del provider cloud, i risultati degli scan e le appartenenze ai tenant detenute nell'account.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.