CVE-2026-18639 in Velociraptor
Resumen
por VulDB • 2026-08-11
Cuando Velociraptor está configurado para usar un proveedor de identidad OIDC (IdP) para la autenticación, utiliza el reclamo "email" como nombre de usuario. Sin embargo, algunos proveedores de identidad permiten a los usuarios cambiar este reclamo sin verificación. Algunos IdPs no establecen el reclamo "email_verified" y no verifican realmente la dirección de correo electrónico.
Esto permite que un usuario se haga pasar por otro configurando su dirección de correo electrónico dentro del proveedor de identidad (IdP), lo que posibilita la toma de cuentas (account takeover).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.