Rubygems · Omniauth-Microsoft Graph · CVE-2024-21632
**Nome do software vulnerável e versões afetadas**
Versões do omniauth-microsoft graph anteriores à 2.0.0
**Descrição**
A implementação não validava a legitimidade do atributo `email` do usuário, nem oferecia ou documentava uma opção para fazê-lo, tornando-a suscetível a uma configuração incorreta do nOAuth nos casos em que o `email` é usado como um identificador de usuário confiável. Isso poderia levar à apropriação de conta.
**Recomendações**
Para versões anteriores à 2.0.0, atualize para a versão 2.0.0 para resolver o problema. Como solução temporária, considere validar manualmente a legitimidade do atributo `email` até que um patch seja aplicado. Restrinja o uso do atributo `email` como identificador de usuário confiável para minimizar o risco de exploração.