Vulnerabilidades do Go-pkgz Auth

A biblioteca auth fornece autenticação via OAuth2, direta e por e-mail. Das versões 1.18.0 até antes da 1.25.2 e das versões 2.0.0 até antes da 2.1.2, o provedor OAuth do Patreon mapeia cada conta Patreon autenticada para o mesmo user.ID local, em vez de derivar um ID único a partir da conta Patreon retornada pelo Patreon. Na prática, isso significa que todos os usuários autenticados via Patreon de uma aplicação que usa esta biblioteca são reunidos em uma única identidade local. Qualquer aplicação que trate token.User.ID como chave estável de conta pode acabar misturando ou fundindo totalmente usuários Patreon não relacionados, o que pode levar a acesso entre contas, confusão de privilégios e vazamento de estado de assinatura. Este problema foi corrigido nas versões 1.25.2 e 2.1.2.