CVE-2026-100169

Niewłaściwe uwierzytelnienie w ścieżce łączenia kont społecznościowych w Prowler API w Prowler od wersji 5.4.0 przed 5.35.0 umożliwia zdalnemu nieuwierzytelnionemu atakującemu uzyskanie trwałego dostępu do konta użytkownika, który jeszcze się nie zarejestrował, ponieważ ProwlerSocialAccountAdapter.pre_social_login() w api/src/backend/api/adapters.py łączy login Google lub GitHub z dowolnym istniejącym lokalnym konta, które ma ten sam adres e-mail, co zwrócony przez dostawcę, bez wymogu weryfikacji adresu przez dostawcę lub na istniejącym koncie i bez jakiejkolwiek innej kontroli, czy oba konta należą do tej samej osoby. Samodzielna rejestracja jest otwarta i nowego konta można od razu używać, ponieważ funkcja UserViewSet.get_permissions() w api/src/backend/api/v1/views.py przyznaje opcję Zezwalaj na akcję tworzenia, ACCOUNT_EMAIL_VERIFICATION jest ustawiona na none w api/src/backend/config/settings/social_login.py, a Django ModelBackend sprawdza tylko hasło i wartość is_active, a nie Rekord adresu e-mail django-allauth. Osoba atakująca, która zarejestruje adres e-mail zanim jego właściciel zachowa hasło ustawione przy rejestracji po wykonaniu linku, ponieważ sociallogin.connect() nie resetuje hasła i nie wyłącza istniejącego konta, a właściciel, który później loguje się za pomocą Google lub GitHub, zostaje zalogowany na konto atakującego. django-allauth samodzielnie tworzy ten sam link oparty na e-mailu, ponieważ SOCIALACCOUNT_EMAIL_AUTHENTICATION i SOCIALACCOUNT_EMAIL_AUTHENTICATION_AUTO_CONNECT są ustawione na True w tym samym module ustawień. Dzięki temu atakujący otrzymuje dane uwierzytelniające dostawcy chmury, wyniki skanowania i członkostwo w dzierżawach przechowywane na koncie.