Falha Crítica em OAuth Permite Roubo de Contas em Múltiplas Plataformas

A vulnerabilidade de auto-link de e-mails em implementações OAuth, que permitiu o roubo de contas em plataformas como Pingvin Share X, Better Auth e AshAuthentication, expõe uma falha crítica na forma como serviços digitais validam a identidade dos usuários. O cerne do problema está na associação automática de um login OAuth a uma conta existente apenas com base no e-mail, sem uma validação robusta. O padrão OpenID Connect (OIDC) é claro: e-mails, números de telefone ou nomes de usuário não devem ser usados como identificadores únicos. A identificação segura deve se basear na combinação de emissor (iss) e sujeito (sub) da identidade.

Cada biblioteca falhou de uma maneira particular, o que mostra como é fácil cometer erros. Pingvin Share X ignorou a flag email_verified do provedor OIDC, tratando qualquer e-mail como validado. Better Auth, embora checasse a verificação do provedor, falhou ao não exigir que o e-mail da conta local também fosse verificado, abrindo brecha para pré-hijacking. Já AshAuthentication nem sequer comparou o e-mail do provedor com o da conta local, permitindo a sobrescrita do e-mail da vítima. A consequência final é sempre a mesma: um atacante ganha controle sobre a conta.

Esta nova série de vulnerabilidades em implementações OAuth mostra que, embora a comunidade de segurança já tenha alertado sobre os riscos de validação de e-mail em identidade federada (como noticiamos em "Falha na Lenovo expõe 5 mil contas Dropbox: Risco em Identidade Federada", de 3 de setembro de 2026), o problema persiste. A evolução aqui não é de uma nova falha fundamental, mas a reincidência e diversificação da mesma falha. Observamos que diferentes bibliotecas, com propósitos similares, continuam a implementar processos de linkagem de contas de forma inadequada. Isso sublinha uma lacuna generalizada na aplicação de boas práticas de segurança, mesmo após o conhecimento de incidentes anteriores.

Para empresas e desenvolvedores, estas falhas são um alerta crítico. Ignorar a validação robusta de identidades federadas significa expor usuários a roubo de contas, comprometendo dados e a confiança na plataforma. A lição é clara: a conveniência do auto-link não pode se sobrepor à segurança. A correta implementação de OAuth e OIDC, seguindo as diretrizes de segurança, é fundamental para proteger os ecossistemas digitais. A exploração dessas vulnerabilidades mostra como pequenas omissões no código podem ter grandes impactos na segurança, resultando em incidentes de alto perfil e danos reputacionais.