CVE-2026-50191 in 4gaBoards
Сводка
по VulDB • 18.08.2026
4gaBoards — это система досок для управления проектами в реальном времени. До версии 3.3.8 приложение 4gaBoards уязвимо к захвату учетной записи до ее регистрации, если включены параметры registrationEnabled, localRegistrationEnabled и ssoRegistrationEnabled, а также настроена SSO через Google, GitHub, Microsoft или OIDC. Конечная точка POST /api/register позволяет создать локальную непроверенную учетную запись с адресом электронной почты жертвы, а конечная точка POST /api/access-tokens позволяет этой учетной записи пройти аутентификацию при isVerified = false. При первом входе жертвы через SSO файлы server/api/helpers/users/get-create-one-for-github-sso.js, server/api/helpers/users/get-create-one-for-google-sso.js, server/api/helpers/users/get-create-one-for-microsoft-sso.js и server/api/helpers/users/get-create-one-for-oidc-sso.js находят учетную запись, контролируемую злоумышленником, по адресу электронной почты и связывают с ней провержденный SSO-идентификатор без подтверждения права владения локальной учетной записью. Злоумышленник может сохранить доступ к связанной учетной записи через локальный пароль и получить доступ к проектам, данным и разрешениям жертвы. Эта проблема исправлена в версии 3.3.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.