Ongeauthenticeerde accountovername in FriendsOfFlarum OAuth via Discord-login (CVE-2026-92161)

Wat is er gebeurd

De Discord OAuth-provider in het fof/oauth-pakket controleerde niet of een door Discord teruggegeven e-mailadres daadwerkelijk geverifieerd was, voordat dit adres via de functie provideTrustedEmail() als vertrouwd werd doorgegeven aan Flarum core. Omdat Discord toestaat dat een account een onbevestigd e-mailadres combineert met een geverifieerd telefoonnummer, kon een aanvaller een Discord-account aanmaken met het bekende e-mailadres van een slachtoffer, zonder dit adres ooit te verifiëren, en toch werd dit adres door Flarum als vertrouwd geaccepteerd.

Technische oorzaak

De oorzaak valt onder CWE-345, Onvoldoende verificatie van de authenticiteit van gegevens. De Discord-provider in fof/oauth controleerde het 'verified'-veld niet dat de Discord-API samen met het e-mailadres teruggeeft. Van de overige meegeleverde OAuth-providers in het pakket is niet bevestigd dat ze op deze manier praktisch misbruikt kunnen worden, omdat hun respectievelijke authenticatiestromen alleen al geverifieerde of bevestigde e-mailadressen teruggeven.

Waarom dit belangrijk is

Door in te loggen met een Discord-account dat is ingesteld met een onbevestigde kopie van het e-mailadres van een slachtoffer, kan een aanvaller ervoor zorgen dat Flarum die Discord-identiteit koppelt aan het bestaande forumaccount van het slachtoffer. Hierdoor krijgt de aanvaller geauthenticeerde toegang als het slachtoffer, zonder dat een wachtwoord nodig is en zonder dat het slachtoffer iets hoeft te doen. Volgens de advisory kan dit worden gebruikt om beheerdersaccounts te compromitteren, wat kan leiden tot volledige controle over een Flarum-forum.

Wie wordt er getroffen

Elke Flarum-installatie die het fof/oauth-pakket gebruikt met de Discord-loginprovider ingeschakeld, is mogelijk kwetsbaar. Misbruik is alleen mogelijk als het e-mailadres van het slachtoffer nog niet gekoppeld is aan een Discord-account; is dat al wel het geval, dan kan de aanval tegen dat account niet worden uitgevoerd.

Getroffen versies

De kwetsbaarheid treft fof/oauth-versies ouder dan 1.7.4, evenals de 2.0.0-betareeks vanaf 2.0.0-beta.1 tot (maar niet inclusief) 2.0.0-beta.4.

Oplossingen en mitigatie

Het probleem is verholpen in fof/oauth-versies 1.7.4 en 2.0.0-beta.4. Sites die een getroffen versie gebruiken, dienen te upgraden naar een van deze gerepareerde releases.

Aanbevolen actie

Update fof/oauth zo snel mogelijk naar versie 1.7.4 als u de 1.x-lijn gebruikt, of naar 2.0.0-beta.4 als u de 2.0.0-betalijn gebruikt. Als directe update niet mogelijk is, overweeg dan om de Discord-loginprovider tijdelijk uit te schakelen totdat de upgrade is doorgevoerd.