待验证50% 置信事件精确时间
Pingvin Share X、Better Auth 和 AshAuthentication 三个开源项目都因为信任了OAuth提供商返回的邮箱字段而没确认邮箱是否已验证（或未区分注册与关联流程），导致陌生人的OAuth登录被绑定到他人的账号上，实现账号接管。
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/10/12
首次发现
有效期至：2027/1/10
来源
涉及实体
相关事实
待验证恶意站点可利用OAuth 2.0协议诱导用户在真实页面授权，从而获得读取邮件、访问云端文件等权限而无需获取密码63% 相似待验证连接器背后采用OAuth授权或预置API集成技术，OAuth登录后平台获得访问令牌从而代替用户调用API而无需存储账号密码63% 相似待验证OAuth协议最初设计用于解决第三方应用代表用户访问资源的问题，核心机制是用户向授权服务器授权换取访问令牌62% 相似待验证Tailscale 采用基于身份的接入模型，通过 OAuth 2.0 / OIDC 协议与 Google Workspace、Microsoft Azure AD、Okta、GitHub 等身份提供商集成，实现单点登录和双因素认证62% 相似待验证AI代理访问用户账户主要有两种路径：直接提供账号密码由Agent在云端浏览器登录，或通过OAuth 2.0等授权协议获得有限权限的API Token61% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1008046API
curl https://kongchang.com/api/v1/knowledge/claims/1008046MCP
get_claim(id=1008046)