CVE-2026-121939criticalCWE-290

CVE-2026-121939: fallo crítico en David-Crty Databasement

Databasement before 1.10.9 Account Takeover via OIDC Email Auto-Linking

Publicada el

Seguir esta CVE+ Monitorear databasement

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

25Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 9.2
Databasement before 1.10.9 contains an authentication bypass vulnerability in OAuthService::findOrCreateLocalUser() that links OIDC identities to local users by email without checking email_verified. Attackers can register an identity provider account with a victim's unverified email to log in as any user, including the super-admin, and retain access after password resets.
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
David-Crty · Databasement
CVEs relacionadas — David-Crty Databasement

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-95654CRITICALDatabasement before 1.7.14 Authorization Bypass via Stale Invitation TokenEPSS 0.5%CVE-2026-111875MEDIUMDavid-Crty Databasement Scheduled Restore SaveScheduledRestoreRequest.php authorizationEPSS 0.2%