CVE-2026-92161 in OAuth
Résumé
par VulDB • 25/09/2026
FriendsOfFlarum OAuth permet aux utilisateurs de se connecter à Flarum via GitHub, Twitter, Facebook et d'autres fournisseurs. Avant les versions 1.7.4 et 2.0.0-beta.4, le fournisseur OAuth Discord ne vérifie pas le champ « verified » (vérifié) renvoyé pour un e-mail OAuth avant de transmettre l'adresse au noyau Flarum comme étant fiable via la méthode provideTrustedEmail(). Lorsque la connexion par Discord est activée, un attaquant non authentifié qui connaît l'adresse e-mail d'un utilisateur Flarum peut configurer un compte Discord avec cette adresse non vérifiée et un numéro de téléphone vérifié, puis se connecter pour amener Flarum à associer l'adresse fiable, lier l'identité Discord contrôlée par l'attaquant au compte utilisateur existant, et s'authentifier en tant que victime sans mot de passe ni interaction avec celle-ci. L'exploitation nécessite que l'adresse e-mail de la victime ne soit pas déjà associée à un compte Discord, et elle peut compromettre les comptes administrateur. D'autres fournisseurs intégrés n'ont pas été confirmés comme étant pratiquement exploitables par cette méthode car leurs flux d'authentification pertinents retournent uniquement des adresses e-mail vérifiées ou confirmées. Ce problème est corrigé dans les versions 1.7.4 et 2.0.0-beta.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.