Reviactyl एक ओपन-सोर्स गेम सर्वर प्रबंधन पैनल है जो Laravel, React, FilamentPHP, Vite और Go का उपयोग करके बनाया गया है। संस्करण 26.2.0-beta.1 से पहले संस्करण 26.2.0-beta.5 से पहले, OAuth प्रमाणीकरण प्रवाह में एक भेद्यता ने केवल मेल पतों के मिलान के आधार पर सोशल खातों को स्वचालित रूप से लिंक करने की अनुमति दी। एक हमलावर पीड़ित के ईमेल पते का उपयोग करके एक सोशल खाता (जैसे, Google, GitHub, Discord) बना या नियंत्रित कर सकता है और पीड़ित के पासवर्ड को जाने बिना उनके खाते तक पूरी पहुंच प्राप्त कर सकता है।

यह दोष हमलावरों को पीड़ित के Reviactyl खाते पर पूर्ण नियंत्रण प्राप्त करने की अनुमति देता है। हमलावर पीड़ित के गेम सर्वर को नियंत्रित कर सकता है, डेटा चोरी कर सकता है, या अन्य दुर्भावनापूर्ण गतिविधियाँ कर सकता है। चूंकि हमलावर को पीड़ित के पासवर्ड की आवश्यकता नहीं होती है, इसलिए यह दोष विशेष रूप से खतरनाक है। इस तरह के हमले से गेम सर्वर की सुरक्षा और अखंडता को गंभीर खतरा हो सकता है, जिससे खिलाड़ियों और सर्वर ऑपरेटरों दोनों को नुकसान हो सकता है। यह दोष अन्य OAuth-आधारित अनुप्रयोगों में समान कमजोरियों की संभावना को भी उजागर करता है, जहां ईमेल पते का उपयोग प्रमाणीकरण के लिए किया जाता है।

Game server administrators and users of Reviactyl are at risk, particularly those who rely on social account linking for authentication. Shared hosting environments where multiple users share the same domain are also at increased risk, as an attacker could potentially leverage this vulnerability to compromise multiple accounts.

• linux / server:

journalctl -u reviactyl | grep -i "social account linking"

• generic web:

curl -I https://your-reviactyl-instance/auth/social/callback | grep -i "email"

1. 2026-04-01Disclosure

   disclosure

1. आरक्षित2026-03-27
2. प्रकाशित2026-04-01
3. संशोधित2026-04-03
4. EPSS अद्यतन2026-04-09

इस दोष को कम करने के लिए, Reviactyl को तुरंत संस्करण 26.2.0-beta.5 में अपडेट करना आवश्यक है। यदि तत्काल अपडेट संभव नहीं है, तो OAuth प्रमाणीकरण प्रवाह को मजबूत करने के लिए अस्थायी उपाय किए जा सकते हैं। इसमें सोशल अकाउंट लिंकिंग के लिए अतिरिक्त प्रमाणीकरण चरणों को लागू करना शामिल हो सकता है, जैसे कि दो-कारक प्रमाणीकरण (2FA)। इसके अतिरिक्त, Reviactyl के कॉन्फ़िगरेशन की समीक्षा करना और यह सुनिश्चित करना महत्वपूर्ण है कि केवल विश्वसनीय सोशल अकाउंट प्रदाताओं का उपयोग किया जा रहा है। अपडेट के बाद, यह सुनिश्चित करने के लिए कि दोष ठीक हो गया है, OAuth प्रमाणीकरण प्रवाह का परीक्षण करें।