# sub2api 曝 OAuth 高危漏洞，仅凭邮箱即可接管账户

Source: https://www.zaihua.news/article/43043/

[返回新闻流](https://www.zaihua.news/)
2026年8月7日 · 22:59 · [在花新闻](https://www.zaihua.news/about/)

# sub2api 曝 OAuth 高危漏洞，仅凭邮箱即可接管账户

sub2api v0.1.171 及之前版本存在一个 CVSS 8.8 的高危 OAuth 账户接管漏洞。攻击者仅需知道受害者注册邮箱，无需密码或验证码、无需用户交互，即可通过接口将自己的 OAuth 身份绑定到受害者账户，完全控制其 API 密钥、账单余额与订阅配额。

攻击者利用 pending session 流程中 existingUser 分支不校验密码和验证码的缺陷，将目标用户 ID 设为受害者后完成 OAuth 身份绑定。此后攻击者每次 OAuth 登录均会解析为受害者账户。

[Github Issues](https://github.com/Wei-Shaw/sub2api/issues/5350)

请大家及时更新到最新版本

🌸 [在花频道](http://t.me/ZaiHuaPd) · [茶馆水群](https://t.me/zaihuachat) · [投稿通道](http://t.me/ZaiHuabot)

https://cdn.zaihua.news/main/43043/mtproto-0-a09348b9f132a85a.jpg

[上一条北京非京籍购房社保年限下调至 1 年](https://www.zaihua.news/article/43042/)[下一条澳大利亚外卖骑手拟设最低收入保障 31.30 澳元，最早 8 月 17 日起实施](https://www.zaihua.news/article/43044/)