CVE-2026-100169

Prowler 5.4.0 ile 5.35.0 arasındaki sürümlerde, Prowler API'sinin sosyal hesap bağlama yolundaki Hatalı Kimlik Doğrulama, uzaktan kimliği doğrulanmamış bir saldırganın henüz kayıt olmamış bir kullanıcının hesabına kalıcı erişim sağlamasına olanak tanır; çünkü api/src/backend/api/adapters.py dosyasındaki ProwlerSocialAccountAdapter.pre_social_login() fonksiyonu, sağlayıcı tarafından döndürülen e-posta adresiyle aynı e-posta adresine sahip herhangi bir mevcut yerel hesaba Google veya GitHub girişini, adresin sağlayıcı tarafından veya mevcut hesapta doğrulanmış olması şartını aramaksızın ve her iki hesabın aynı kişiye ait olduğuna dair başka hiçbir kontrol yapmaksızın bağlar. Kendi kendine kayıt açık olduğundan ve yeni hesap anında kullanılabilir olduğundan, api/src/backend/api/v1/views.py içindeki UserViewSet.get_permissions() fonksiyonu create işlemine AllowAny yetkisi verir, api/src/backend/config/settings/social_login.py içinde ACCOUNT_EMAIL_VERIFICATION değeri none olarak ayarlanmıştır ve Django ModelBackend yalnızca parolayı ve is_active durumunu kontrol eder, django-allauth EmailAddress kaydını kontrol etmez. Bir e-posta adresinin sahibi kayıt olmadan önce bu adresi kaydeden bir saldırgan, bağlantı kurulduktan sonra kayıt sırasında belirlenen parolayı korur; çünkü sociallogin.connect() parolayı sıfırlamaz ve mevcut hesabı devre dışı bırakmaz ve daha sonra Google veya GitHub ile giriş yapan gerçek sahip, saldırganın hesabına giriş yapmış olur. Aynı ayarlar modülünde hem SOCIALACCOUNT_EMAIL_AUTHENTICATION hem de SOCIALACCOUNT_EMAIL_AUTHENTICATION_AUTO_CONNECT değerleri True olarak ayarlandığı için django-allauth da kendi başına aynı e-posta tabanlı bağlantıyı gerçekleştirir. Bu durum, saldırgana hesapta bulunan bulut sağlayıcı kimlik bilgilerini, tarama bulgularını ve kiracı üyeliklerini sağlar.