CVE-2026-92161

FriendsOfFlarum OAuth; kullanıcıların GitHub, Twitter, Facebook ve diğer sağlayıcılarla Flarum'a giriş yapmasına olanak tanır. 1.7.4 ve 2.0.0-beta.4 sürümlerinden önce, Discord OAuth sağlayıcısı, e-posta adresini provideTrustedEmail() aracılığıyla güvenilir olarak Flarum çekirdeğine iletmeden önce döndürülen verified alanını kontrol etmemektedir. Discord ile giriş etkinleştirildiğinde, bir Flarum kullanıcısının e-posta adresini bilen kimliği doğrulanmamış bir saldırgan, bu doğrulanmamış adrese ve doğrulanmış bir telefon numarasına sahip bir Discord hesabı yapılandırabilir; ardından giriş yaparak Flarum'un güvenilir adresi eşleştirmesini, saldırgan tarafından kontrol edilen Discord kimliğinin mevcut kullanıcıyla ilişkilendirilmesini ve kurbanın şifresine veya etkileşimine gerek kalmadan kurban olarak kimlik doğrulamasını sağlayabilir. İstismarın gerçekleşmesi için kurbanın e-posta adresinin halihazırda bir Discord hesabıyla ilişkili olmaması gerekir ve bu durum yönetici hesaplarını tehlikeye atabilir. Paketle birlikte gelen diğer sağlayıcıların bu yöntemle pratik olarak istismar edilebileceği onaylanmamıştır çünkü ilgili kimlik doğrulama akışları yalnızca doğrulanmış veya onaylanmış e-posta adreslerini döndürmektedir. Bu sorun 1.7.4 ve 2.0.0-beta.4 sürümlerinde düzeltilmiştir.