CVE-2026-41574: Bypass de verificação de e-mail OAuth no Nhost leva a takeover de conta
O Nhost, alternativa de código aberto ao Firebase, vincula automaticamente uma identidade OAuth recebida a uma conta existente quando os e-mails coincidem, o que só é seguro se o provedor tiver verificado o e-mail. Vários adaptadores de provedor definem esse indicador de forma incorreta, o que pode permitir que um invasor assuma uma conta usando um e-mail que não lhe pertence. O registro indica que o problema foi corrigido na versão 0.49.1.
Visão geral
O Nhost é uma alternativa de código aberto ao Firebase, construída sobre GraphQL. Segundo o registro, o Nhost vincula automaticamente uma identidade OAuth recebida a uma conta existente quando os endereços de e-mail coincidem. Isso só é seguro quando o provedor verificou o e-mail, e vários adaptadores de provedor definem esse indicador de forma incorreta. A fraqueza é classificada como CWE-287 (Autenticação Inadequada).
Impacto
- Um invasor pode conseguir entrar na conta Nhost de uma vítima apresentando um endereço de e-mail que não controla, por meio de um provedor OAuth afetado.
- O registro descreve o resultado como uma sessão autenticada completa.
- A pontuação base da NVD é 9,8 (crítica). O registro também lista uma pontuação de 9,3 do CNA do GitHub.
Produtos e versões afetados
- Nhost Nhost: versões anteriores à 0.49.1.
- Nhost Nhost/auth: versões anteriores à 0.49.1.
- A correção indicada no registro é a versão 0.49.1.
- O registro cita os adaptadores de provedor Discord, Bitbucket, AzureAD e EntraID como componentes envolvidos.
Status de exploração
- Esta CVE não consta no catálogo KEV da CISA no registro, portanto não há exploração ativa registrada ali.
- Nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como none.
- A probabilidade EPSS no registro é 0,00905.
Correção e mitigação
- Atualize os componentes do Nhost para a versão 0.49.1 ou superior, conforme indicado no aviso do GitHub e nas notas de versão.
- Revise o commit de correção para entender as mudanças nos adaptadores de provedor.
- Se a atualização não puder ser aplicada de imediato, revise quais provedores OAuth estão habilitados e se a vinculação automática de contas por e-mail está em uso. Isto é uma inferência a partir do mecanismo e não uma solução de contorno declarada pelo fornecedor.
- Revise contas vinculadas por provedores OAuth em busca de associações de identidade inesperadas.
Orientações de detecção
- Revise logs de autenticação em busca de logins OAuth que vinculem a contas existentes, especialmente por meio de identidades Microsoft ou Bitbucket.
- Procure sessões criadas para contas cujos titulares não iniciaram a vinculação.
- São verificações de alto nível. O registro não descreve campos específicos de log.
Limitações das informações disponíveis
- O registro não informa limites de versão além da correção 0.49.1.
- A lista de referências inclui entradas marcadas como Exploit. Seu conteúdo não foi revisado, e essa marcação não confirma exploração.
- O registro não mostra se as pontuações ou os dados EPSS foram atualizados após a publicação.
Perguntas frequentes
Qual é o problema central da CVE-2026-41574?
O Nhost vincula uma identidade OAuth a uma conta existente quando os e-mails coincidem, mas alguns adaptadores de provedor marcam incorretamente e-mails não verificados como verificados, permitindo o vínculo sem prova de posse do e-mail.
Quais versões são afetadas?
O registro indica que o Nhost e o Nhost auth são afetados em versões anteriores à 0.49.1, e a 0.49.1 é a versão corrigida.
Há registro de exploração conhecida?
O registro mostra que a falha não consta no KEV da CISA, e não aparece exploração confirmada nas fontes consultadas.
O que administradores devem fazer?
Atualizar para a versão 0.49.1 ou superior, revisar contas OAuth vinculadas e provedores habilitados, e verificar logs de autenticação em busca de vínculos inesperados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.