Tinyauth tem confusão de conta OAuth através de estado mutável compartilhado em instâncias de serviço singleton

A vulnerabilidade CVE-2026-33544 no tinyauth permite que um atacante, sob certas circunstâncias, se passe por outro usuário durante o processo de login OAuth. Isso ocorre devido a uma condição de corrida no tratamento de verificadores PKCE e tokens de acesso dentro das implementações OAuth (GenericOAuthService, GithubOAuthService, GoogleOAuthService). Se dois usuários tentarem fazer login com o mesmo provedor OAuth simultaneamente, uma execução maliciosa pode interceptar e utilizar as informações de autenticação do outro usuário, obtendo acesso não autorizado à sua conta. A pontuação CVSS de 7.7 indica um risco médio-alto.

Applications utilizing the tinyauth library for OAuth authentication are at risk. This includes Go-based applications that rely on tinyauth for handling OAuth flows, particularly those deployed in environments with high user concurrency or shared hosting configurations where multiple users might share resources.

• linux / server: Monitor application logs for unusual login patterns or session activity. Specifically, look for multiple logins from the same IP address within a short timeframe.

journalctl -u tinyauth -f | grep "session" | grep "race condition"

• generic web: Examine access logs for requests to OAuth endpoints originating from the same IP address but associated with different user accounts within a short time window.

grep "oauth/callback" /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 10

1. 2026-04-01Disclosure

   disclosure

1. Reservado2026-03-20
2. Publicada2026-04-01
3. Modificada2026-04-06
4. EPSS atualizado2026-04-10

A solução recomendada é atualizar para a versão 1.0.1-0.20260401140714-fc1d4f2082a5 do tinyauth. Esta versão corrige a condição de corrida implementando mecanismos de sincronização adequados para proteger o acesso concorrente aos dados sensíveis do OAuth. Recomenda-se aplicar esta atualização o mais rápido possível para mitigar o risco de suposta identidade. Além disso, recomenda-se rever as configurações do OAuth para garantir que as melhores práticas de segurança estejam sendo utilizadas, como a limitação de taxa e a implementação de autenticação multifator.