CVE-2026-100169 in Prowler
Sumário
de VulDB • 14/10/2026
Autenticação inadequada no fluxo de vinculação da conta social na API Prowler do Prowler (versões anteriores a 5.35.0 e posteriores à 5.4.0) permite que um atacante remoto não autenticado obtenha acesso persistente à conta de um usuário que ainda não se registrou, pois o método `ProwlerSocialAccountAdapter.pre_social_login()` em `api/src/backend/api/adapters.py` vincula um login do Google ou GitHub a qualquer conta local existente que possua o mesmo endereço de e-mail retornado pelo provedor, sem exigir que o endereço tenha sido verificado pelo provedor ou na conta existente, nem realizar outras verificações para garantir que ambas as contas pertençam à mesma pessoa. O registro autônomo (self-registration) está aberto e a nova conta é utilizável imediatamente, pois `UserViewSet.get_permissions()` em `api/src/backend/api/v1/views.py` concede permissão AllowAny para a ação de criação, `ACCOUNT_EMAIL_VERIFICATION` está definido como none em `api/src/backend/config/settings/social_login.py`, e o Django ModelBackend verifica apenas a senha e o status is_active, ignorando o registro EmailAddress do django-allauth. Um atacante que registra um endereço de e-mail antes do seu proprietário mantém a senha definida no momento do registro após a vinculação ser realizada, pois `sociallogin.connect()` não redefine a senha nem desativa a conta existente; consequentemente, o proprietário da conta, ao fazer login posteriormente com Google ou GitHub, é autenticado na conta do atacante. O django-allauth realiza a mesma vinculação baseada em e-mail por conta própria, uma vez que as configurações `SOCIALACCOUNT_EMAIL_AUTHENTICATION` e `SOCIALACCOUNT_EMAIL_AUTHENTICATION_AUTO_CONNECT` estão ambas definidas como True no mesmo módulo de configuração. Isso concede ao atacante as credenciais do provedor de nuvem, os achados dos scans (vulnerabilidades) e as pertenças a tenants mantidos na conta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.