CVE-2026-42560: go-pkgz/auth OAuth do Patreon: colapso de identidades em um único usuário (autenticação inadequada)
Nas versões afetadas da biblioteca go-pkgz/auth, o provedor OAuth do Patreon associa todas as contas autenticadas via Patreon a um mesmo ID de usuário local. Isso pode fundir usuários Patreon não relacionados em uma única identidade, com risco de acesso entre contas e exposição do estado de assinatura em aplicações que dependem desse ID. O CNA informa pontuação base CVSS 3.1 de 9.1, e as versões corrigidas são 1.25.2 e 2.1.2.
Visão geral
A CVE-2026-42560 afeta o provedor OAuth do Patreon na biblioteca go-pkgz/auth. Segundo o registro, cada conta Patreon autenticada é mapeada para o mesmo user.ID local, em vez de um identificador único derivado da conta Patreon. A fragilidade é classificada como autenticação inadequada (CWE-287).
Impacto
Como identidades distintas passam a colapsar em uma só, aplicações que tratam token.User.ID como chave estável de conta podem:
- misturar dados ou sessões de usuários Patreon não relacionados;
- conceder a uma conta acesso ou privilégios destinados a outra;
- expor informações de estado de assinatura entre contas.
Esses efeitos são inferências a partir da descrição e dependem de como cada aplicação usa o identificador.
Produtos e versões afetadas
- Versões a partir de 1.18.0 até antes de 1.25.2.
- Versões a partir de 2.0.0 até antes de 2.1.2.
As listas de afetados e de correções do registro estão vazias, por isso esse intervalo foi extraído do texto da descrição.
Status de exploração
O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas. O registro traz probabilidade EPSS de 0,00579 e percentil de 0,46159.
Correção e mitigação
- Atualize para a versão 1.25.2 na linha 1.x ou para a 2.1.2 na linha 2.x.
- Até concluir a atualização, revise as aplicações que usam o provedor do Patreon e evite depender de token.User.ID como chave única de conta.
- Avalie se sessões existentes ou registros armazenados ficaram vinculados a uma identidade fundida e planeje eventuais ajustes com cuidado, pois o registro não descreve passos de migração.
- Consulte o aviso no GitHub e as notas de lançamento para detalhes do fornecedor.
Orientações de detecção
- Revise os logs de autenticação em busca de muitos logins Patreon distintos resolvendo para o mesmo identificador local.
- Observe alterações inesperadas de conta ou acessos a telas de assinatura logo após logins.
Limitações das informações disponíveis
O registro não informa quantas implantações são afetadas, se existe alguma alternativa além da atualização, nem como identidades já fundidas devem ser migradas. O status de origem é Deferred. A data do EPSS no registro é posterior à data de publicação, então o momento da medição deve ser conferido na fonte de dados atual.
Perguntas frequentes
Quais versões são afetadas pela CVE-2026-42560?
Segundo o registro, são afetadas as versões de 1.18.0 até antes de 1.25.2 e de 2.0.0 até antes de 2.1.2 da biblioteca go-pkgz/auth.
O que fazer se eu uso o provedor do Patreon?
Atualize para 1.25.2 na linha 1.x ou 2.1.2 na linha 2.x e revise se sua aplicação trata token.User.ID como chave única de conta.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que ela não consta no KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.