Исследователь описал класс атак OAuth Verification Trust Mismatch

Автор HackerNoon показал, что клиенты, доверяющие email из OAuth-профиля без проверки поля verified, позволяют обходить верификацию почты и захватывать аккаунты. Демонстрация проведена на Discord OAuth с аккаунтом, подтверждённым только по телефону.

• Атака работает, если клиент не проверяет поле verified в ответе OAuth-провайдера
• Аккаунт Discord без подтверждённой почты прошёл регистрацию на уязвимом сайте
• Часть приложений корректно отклоняют вход при verified=false
• Класс уязвимости назван OAuth Verification Trust Mismatch