Vulnerabilidad en 4gaBoards de RARgames (CVE-2026-53958)

4gaBoards es un sistema de tableros para la gestión de proyectos en tiempo real. Antes de la versión 3.3.9, 4gaBoards permite a un usuario autenticado modificar ssoGoogleId, ssoGoogleEmail, ssoGithubId, ssoGithubUsername, ssoGithubEmail, ssoMicrosoftId, ssoMicrosoftEmail, ssoOidcId y ssoOidcEmail a través de PATCH /API/users/:id. La lista blanca en server/api/controllers/users/update.js asigna masivamente estos atributos de identidad gestionados por el backend a partir de la entrada del usuario. Un atacante puede colocar el identificador de proveedor de una víctima en una cuenta controlada por el atacante, lo que hace que la búsqueda predeterminada en ayudantes como server/api/helpers/users/get-create-one-for-github-sso.js coincida con el primer inicio de sesión SSO de la víctima con la cuenta del atacante antes de que se ejecute el flujo de vinculación por correo electrónico. La víctima inicia sesión en la cuenta controlada por el atacante, y los proyectos, tableros o datos que la víctima crea permanecen accesibles a través de las credenciales locales originales del atacante. Este problema se soluciona en la versión 3.3.9.