CVE-2026-50191

4gaBoards, gerçek zamanlı proje yönetimi için bir panolar sistemidir. 3.3.8 sürümünden önce 4gaBoards; registrationEnabled, localRegistrationEnabled ve ssoRegistrationEnabled etkinleştirildiğinde ve Google, GitHub, Microsoft veya OIDC SSO yapılandırıldığında hesap ele geçirme öncesi (pre-account takeover) zafiyetine sahiptir. POST /api/register uç noktası, kurbanın e-posta adresiyle doğrulanmamış bir yerel hesabın oluşturulmasına izin verir ve POST /api/access-tokens, isVerified değeri false iken bu hesabın kimlik doğrulaması yapmasına olanak tanır. Kurbanın ilk SSO girişinde server/api/helpers/users/get-create-one-for-github-sso.js, server/api/helpers/users/get-create-one-for-google-sso.js, server/api/helpers/users/get-create-one-for-microsoft-sso.js ve server/api/helpers/users/get-create-one-for-oidc-sso.js dosyaları, saldırgan tarafından kontrol edilen hesabı e-posta üzerinden bulur ve yerel hesabın sahipliğini onaylamadan doğrulanmış SSO kimliğini ilişkilendirir. Saldırgan, ilişkilendirilmiş hesaba yerel şifre erişimini koruyabilir ve kurbanın projelerini, verilerini ve izinlerini elde edebilir. Bu sorun 3.3.8 sürümünde düzeltilmiştir.