CVE-2026-100169

Prowler-in 5.4.0 versiyasından 5.35.0 versiyasına qədər olan versiyalarında Prowler API-nin sosial hesabların əlaqələndirilməsi yolunda düzgün olmayan autentifikasiya mövcuddur. Bu, uzaqdakı autentifikasiya olunmamış hücumçuya hələ qeydiyyatdan keçməmiş istifadəçinin hesabına daimi giriş əldə etməyə imkan verir, çünki `api/src/backend/api/adapters.py` faylındakı `ProwlerSocialAccountAdapter.pre_social_login()` funksiyası Google və ya GitHub girişini, provayder tərəfindən qaytarılan e-poçt ünvanı ilə eyni olan hər hansı mövcud lokal hesaba əlaqələndirir; bu zaman ünvanın provayder tərəfindən və ya mövcud hesabda təsdiqlənməsi tələb edilmir və hər iki hesabın eyni şəxsə məxsus olduğuna dair heç bir digər yoxlama aparılmır. Özüqeydiyyat açıqdır və yeni hesab dərhal istifadə edilə bilər, çünki `api/src/backend/api/v1/views.py` faylındakı `UserViewSet.get_permissions()` funksiyası `create` hərəkətinə `AllowAny` icazəsi verir, `api/src/backend/config/settings/social_login.py` faylında `ACCOUNT_EMAIL_VERIFICATION` dəyəri `none` olaraq təyin edilib və Django `ModelBackend` yalnız şifrəni və `is_active` statusunu yoxlayır, `django-allauth` `EmailAddress` qeydini yoxlamır. E-poçt ünvanını sahibindən əvvəl qeydiyyatdan keçirən hücumçu, əlaqə yaradıldıqdan sonra qeydiyyat zamanı təyin edilmiş şifrəni saxlayır, çünki `sociallogin.connect()` şifrəni sıfırlamır və mövcud hesabı deaktiv etmir; daha sonra Google və ya GitHub ilə daxil olan real sahibi isə hücumçunun hesabına yönləndirilir. `django-allauth` eyni parametrlər modulunda `SOCIALACCOUNT_EMAIL_AUTHENTICATION` və `SOCIALACCOUNT_EMAIL_AUTHENTICATION_AUTO_CONNECT` dəyərlərinin hər ikisi `True` olduğu üçün eyni e-poçt əsaslı əlaqəni müstəqil olaraq qurur. Bu, hücumçuya hesabda saxlanılan bulud provayderi etibarnamələrini, skan nəticələrini və tenant üzvlüyünü əldə etmək imkanı verir.