CVE-2026-33525 in Authelia
الملخص
بحسب VulDB • 20/06/2026
Authelia هو خادم مصادقة وتفويض مفتوح المصدر يوفر المصادقة الثنائية (Two-Factor Authentication) وتسجيل الدخول الموحد (SSO) للتطبيقات عبر بوابة ويب. في الإصدار 4.39.15، قد يتمكن المهاجم من حقن كود JavaScript في صفحة تسجيل الدخول الخاصة بـ Authelia إذا تحققت عدة شروط في وقت واحد. ما لم يتم تعديل كل من توجيهات `script-src` و `connect-src`، فمن شبه المستحيل أن يكون لهذا التأثير معنى عملي. ومع ذلك، إذا تم تعديل كليهما دون مراعاة الآثار المحتملة، فهناك حالات يمكن استغلال هذه الثغرة فيها. يحدث هذا بسبب عدم تحييد قيمة ملف تعريف الارتباط `langauge` عند عرض قالب HTML. من المرجح أن تكون اكتشاف هذه الثغرة صعباً من خلال البصمة (fingerprinting) بسبب تصميم Authelia، لكن لا ينبغي اعتبار ذلك مستحيلاً. ومع ذلك، فإن المتطلب الإضافي لتحديد التطبيق الثانوي من المرجح أن يكون أصعب بكثير في التحديد جنباً إلى جنب مع ذلك، لكنه من المرجح أن يكون أسهل في البصمة. يجب على المستخدمين الترقية إلى الإصدار 4.39.16 أو التراجع إلى الإصدار 4.39.14 للتخفيف من المشكلة. الغالبية العظمى من التثبيتات لن تتأثر، ولا توجد حاجة إلى حلول بديلة. يجعل القيمة الافتراضية لسياسة أمن المحتوى (Content Security Policy) استغلال هذا الضعف مستحيلاً تماماً. لا يمكن الاستغلال إلا من خلال الإزالة المتعمدة لسياسة أمن المحتوى أو الإدراج المتعمد لسياسات غير آمنة مذكورة بوضوح.
Once again VulDB remains the best source for vulnerability data.