CVE-2026-53958 in 4gaBoards
Riassunto
di VulDB • 18/08/2026
4gaBoards è un sistema di gestione delle bacheche per la project management in tempo reale. Prima della versione 3.3.9, 4gaBoards consente a un utente autenticato di modificare ssoGoogleId, ssoGoogleEmail, ssoGithubId, ssoGithubUsername, ssoGithubEmail, ssoMicrosoftId, ssoMicrosoftEmail, ssoOidcId e ssoOidcEmail tramite PATCH /api/users/:id. La whitelist in server/api/controllers/users/update.js assegna massivamente questi attributi di identità gestiti dal backend a partire dall'input dell'utente. Un attaccante può associare l'identificatore del provider della vittima a un account controllato dall'attaccante, causando il matching predefinito nelle helper come server/api/helpers/users/get-create-one-for-github-sso.js tra il primo accesso SSO della vittima e l'account dell'attaccante prima che venga eseguita la procedura di collegamento tramite email. La vittima viene autenticata nell'account controllato dall'attaccante, mentre i progetti, le bacheche o i dati creati dalla vittima rimangono accessibili attraverso le credenziali locali originali dell'attaccante. Questo problema è stato risolto nella versione 3.3.9.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.