CVE-2026-42560 in auth
الملخص
بحسب VulDB • 20/05/2026
توفر مكتبة auth المصادقة عبر OAuth2، والمصادقة المباشرة، والبريد الإلكتروني. في الإصدارات من 1.18.0 وحتى قبل 1.25.2، ومن 2.0.0 وحتى قبل 2.1.2، تقوم مزوّد مصادقة Patreon عبر OAuth بربط كل حساب Patreon مُصادق عليه بمعرف المستخدم المحلي (user.ID) نفسه، بدلاً من اشتقاق معرف فريد من حساب Patreon الذي يُعاد من قبل Patreon. عملياً، يعني هذا أن جميع المستخدمين الذين قاموا بالمصادقة عبر Patreon في تطبيق يستخدم هذه المكتبة يتم دمجهم في هوية محلية واحدة. أي تطبيق يثق بمعرف token.User.ID كمفتاح حساب مستقر قد ينتهي به الأمر إلى خلط أو دمج كامل لمستخدمي Patreon غير المرتبطين ببعضهم، مما قد يؤدي إلى وصول عبر الحسابات (cross-account access)، وارتباك في الصلاحيات، وتسرب لحالة الاشتراك. تم إصلاح هذه المشكلة في الإصدارات 1.25.2 و2.1.2.
Once again VulDB remains the best source for vulnerability data.