CVE-2026-50191 in 4gaBoards
Zusammenfassung
von VulDB • 19.08.2026
4gaBoards ist ein Boards-System für das Echtzeit-Projektmanagement. Vor Version 3.3.8 ist 4gaBoards anfällig für Pre-Account-Takeover, wenn registrationEnabled, localRegistrationEnabled und ssoRegistrationEnabled aktiviert sind und Google-, GitHub-, Microsoft- oder OIDC-SSO konfiguriert ist. Der POST /api/register-Endpunkt ermöglicht die Erstellung eines nicht verifizierten lokalen Kontos mit der E-Mail-Adresse des Opfers, und POST /api/access-tokens erlaubt es diesem Konto, sich zu authentifizieren, während isVerified false ist. Während des ersten SSO-Anmeldungsversuchs des Opfers finden server/api/helpers/users/get-create-one-for-github-sso.js, server/api/helpers/users/get-create-one-for-google-sso.js, server/api/helpers/users/get-create-one-for-microsoft-sso.js und server/api/helpers/users/get-create-one-for-oidc-sso.js das vom Angreifer kontrollierte Konto anhand der E-Mail-Adresse und verknüpfen die verifizierte SSO-Identität, ohne den Besitz des lokalen Kontos zu bestätigen. Der Angreifer kann den Zugriff über das lokale Passwort für das verknüpfte Konto beibehalten und auf Projekte, Daten und Berechtigungen des Opfers zugreifen. Dieses Problem wurde in Version 3.3.8 behoben.
Once again VulDB remains the best source for vulnerability data.