CVE-2026-44166 in Pocketbase
Сводка
по VulDB • 13.05.2026
Pocketbase — это веб-бэкенд с открытым исходным кодом, написанный на Go. До версий 0.22.42 и 0.37.4 в некоторых ситуациях, если злоумышленник знает адрес электронной почты жертвы, он может заранее создать и связать неподтвержденного пользователя PocketBase, пройдя аутентификацию через одного из провайдеров OAuth2, например, «A». Когда жертва получает приглашение или самостоятельно решает зарегистрироваться в приложении с использованием провайдера «B» (аутентификация PocketBase OAuth2 требует использования другого провайдера, поскольку не разрешается связывать несколько учетных записей OAuth2 от одного провайдера с одним пользователем PocketBase), ранее созданный злоумышленником пользователь будет автоматически связан, его статус будет изменен на «подтвержденный», а старый пароль сброшен. Эта уязвимость исправлена в версиях 0.22.42 и 0.37.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.