pocketbase-CVE-2026-44166

CVE-2026-44166: PocketBase OAuth2 アカウントの事前ハイジャック OAuth2 が有効な PocketBase 認証コレクションでは、サインアップ時にクライアントが createData オブジェクトを渡すことができます。createData 内のメールアドレスは、OAuth2 プロバイダーが検証したメールアドレスと照合されません。設定されたプロバイダーのアカウントを持つ誰でも、他人のメールアドレスを持ち、自分の OAuth2 ID にリンクされたレコードを登録できます。...