ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
مكتبة Pocket ID هي موفر OIDC يتيح للمستخدمين المصادقة باستخدام مفاتيح المرور (passkeys) الخاصة بهم في الخدمات. من الإصدار 2.2.0 حتى 2.12.0، تستخدم SendEmailVerification نموذج الرمز في backend/internal/model/email_verification_token.go لربط رمز التحقق من البريد الإلكتروني بمعرّف المستخدم فقط، بينما يمكن لـ UpdateUser تغيير بريد الحساب دون إبطال الرمز القائم، ويقوم VerifyEmail بتحديد العنوان الحالي على أنه مُتحقَّق منه. يمكن للمستخدم العادي طلب رمز لعنوان يتحكم فيه، وتغيير الحساب إلى عنوان عشوائي غير مستخدم، واسترداد الرمز القديم بحيث تنشر Pocket ID العنوان الجديد مع تعيين email_verified إلى true. الإعداد الافتراضي المتأثر يستخدم emailsVerified=false و allowOwnAccountEdit=true؛ ويجب ألا ينتمي العنوان المستهدف بالفعل إلى مستخدم آخر في Pocket ID. التطبيق المعتمد الذي يثق في بريد إلكتروني مُتحقَّق منه لمطابقة الحساب التلقائية أو توفيره يمكنه ربط هوية المهاجم بحساب مستخدم آخر، بينما لا تتأثر التطبيقات التي تعتمد حصرياً على مطالبة OIDC الفرعية الثابتة بهذه النتيجة اللاحقة. تم إصلاح هذه الثغرة في الإصدار 2.12.0.