Pingvin Share X: Kontoübernahme durch automatische OAuth-E-Mail-Verknüpfung

Zusammenfassung

Pingvin Share X ab 0.19.0 bis vor 1.22.0 verknüpft OAuth-/OIDC-Anmeldungen über die E-Mail-Adresse automatisch mit bestehenden lokalen Konten, ohne dass die E-Mail-Adresse verifiziert sein muss. Ein entfernter, nicht authentifizierter Angreifer, der die unverifizierte E-Mail-Adresse eines Opfers bei einem aktivierten OAuth-/OIDC-Anbieter registriert, kann sich als dieses Opfer anmelden, auch als Administrator, und TOTP umgehen. Voraussetzung ist, dass die OAuth-/OIDC-Anmeldung aktiviert ist und der Anbieter E-Mail-Adressen nicht verifiziert.

Betroffen

• Pingvin Share X 0.19.0 bis vor 1.22.0
• Die Standardkonfiguration ist nicht betroffen; die OAuth-/OIDC-Anmeldung muss aktiviert sein

Behoben in

• Behoben in Pingvin Share X 1.22.0

Umgehung

• Unbekannt. Der Hersteller stellt keinen Workaround bereit.
• Übergangsmassnahme (nicht vom Hersteller): OAuth-/OIDC-Anmeldung deaktivieren, bis das Update installiert ist.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Pingvin Share X auf Version 1.22.0 oder neuer aktualisieren. Versionen vor 1.22.0 erhalten keine Sicherheitsupdates mehr.
• Falls die OAuth-/OIDC-Anmeldung nicht benötigt wird, diese bis zum Update deaktivieren.
• Falls sie benötigt wird, nur Identity Provider zulassen, die E-Mail-Adressen verifizieren.
• Administratorkonten und kürzlich erfolgte OAuth-Verknüpfungen prüfen und Authentifizierungsprotokolle auf ungewöhnliche Anmeldungen kontrollieren.
• Das Update auf 1.22.0 behebt auch CVE-2026-108163 und CVE-2026-108162.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-wrcg-4874-45p7 github.com
• Pingvin Share X release v1.22.0 github.com
• Fix commit 07aa8c0a github.com
• VulnCheck advisory www.vulncheck.com
• Vulnerable code in oauth.service.ts github.com
• OSV entry CVE-2026-108157 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:45.