Reviactyl é um painel de gerenciamento de servidor de jogos de código aberto construído usando Laravel, React, FilamentPHP, Vite e Go. Da versão 26.2.0-beta.1 até a versão 26.2.0-beta.5, uma vulnerabilidade no fluxo de autenticação OAuth permitiu o vinculação automática de contas sociais com base apenas em endereços de e-mail correspondentes. Um atacante poderia criar ou controlar uma conta social (por exemplo, Google, GitHub, Discord) usando o endereço de e-mail de uma vítima e obter acesso total à conta da vítima sem conhecer sua senha.

O impacto desta vulnerabilidade é severo, pois permite a completa tomada de controle de contas Reviactyl. Um atacante pode criar ou controlar uma conta social associada ao endereço de e-mail de um usuário, obtendo acesso irrestrito ao painel de gerenciamento do servidor de jogos. Isso pode resultar no comprometimento de dados sensíveis, modificação de configurações do servidor, instalação de malware ou até mesmo no controle total do servidor de jogos. A ausência de autenticação prévia torna a exploração particularmente fácil e perigosa, permitindo que atacantes obtenham acesso sem qualquer interação do usuário.

Game server administrators and users of Reviactyl are at risk, particularly those who rely on social account linking for authentication. Shared hosting environments where multiple users share the same domain are also at increased risk, as an attacker could potentially leverage this vulnerability to compromise multiple accounts.

• linux / server:

journalctl -u reviactyl | grep -i "social account linking"

• generic web:

curl -I https://your-reviactyl-instance/auth/social/callback | grep -i "email"

1. 2026-04-01Disclosure

   disclosure

1. Reservado2026-03-27
2. Publicada2026-04-01
3. Modificada2026-04-03
4. EPSS atualizado2026-04-09

A mitigação primária para esta vulnerabilidade é a atualização imediata para a versão 26.2.0-beta.5 ou superior, que corrige a falha no fluxo de autenticação OAuth. Enquanto a atualização não for possível, considere desabilitar a vinculação de contas sociais no Reviactyl, se essa funcionalidade não for essencial. Implementar regras de firewall ou proxies que restrinjam o acesso ao endpoint de vinculação OAuth pode fornecer uma camada adicional de proteção. Monitore os logs de autenticação em busca de tentativas de vinculação de contas suspeitas.