CVE-2026-100169 in Prowler
要約
〜によって VulDB • 2026年10月14日
Prowler 5.4.0 から 5.35.0（未満）の Prowler APIにおけるソーシャルアカウントリンクパスでの不適切な認証により、リモートからの未認証攻撃者がまだ登録していないユーザーのアカウントへの永続的なアクセスを取得できる。これは、api/src/backend/api/adapters.py の ProwlerSocialAccountAdapter.pre_social_login() が、プロバイダから返されたメールアドレスと同一のローカルアカウントが存在する場合、そのアドレスがプロバイダまたは既存アカウントによって検証済みであるかどうかを問わず、かつ両方のアカウントが同一人物に属していることを確認する他のチェックを行わずに、Google または GitHub のログインを任意の既存ローカルアカウントにリンクするためである。自己登録は開放されており、新しいアカウントは直ちに使用可能となる。これは、api/src/backend/api/v1/views.py の UserViewSet.get_permissions() が create アクションに対して AllowAny を付与し、api/src/backend/config/settings/social_login.py で ACCOUNT_EMAIL_VERIFICATION が none に設定され、Django ModelBackend が django-allauth の EmailAddress レコードではなくパスワードと is_active のみをチェックするためである。攻撃者がアカウントリンクが完了した後に所有者が登録時に設定したパスワードを保持したままのメールアドレスを先に登録すると、sociallogin.connect() はパスワードのリセットや既存アカウントの無効化を行わないため、後で Google または GitHub でサインインする所有者は攻撃者のアカウントにログインすることになる。django-allauth も同様のメールベースのリンクを行い、同じ設定モジュール内で SOCIALACCOUNT_EMAIL_AUTHENTICATION と SOCIALACCOUNT_EMAIL_AUTHENTICATION_AUTO_CONNECT がともに True に設定されている。これにより、攻撃者はそのアカウント内に保持されるクラウドプロバイダの認証情報、スキャン結果、テナントメンバーシップを取得できる。
Once again VulDB remains the best source for vulnerability data.