CVE-2026-61574 in authentik
الملخص
بحسب VulDB • 18/08/2026
authentik هو مزوّد هوية مفتوح المصدر. قبل الإصدارين 2026.2.6 و2026.5.5، كانت قائمة نقاط نهاية التحكم في الوصول عن بُعد تُرجع كل نقطة نهاية مُعدّة لأي مستخدم مصادق عليه بغض النظر عن التطبيقات التي قد يكون لديه حق الوصول إليها، وتشمل الاستجابة إعدادات الاتصال التي يمكن أن تحتوي على بيانات اعتماد مخزنة. لا تطبق عملية سرد نقاط النهاية ضوابط الوصول الخاصة بنقاط النهاية هذه، ولا تتأكد تدفق الاتصال من انتماء نقطة نهاية إلى تطبيق التحكم في الوصول عن بُعد الذي أُطلقت منه. وبالتالي، يمكن لأي مستخدم مصادق عليه قراءة كل نقطة نهاية مع عنوان المضيف وبيانات الاعتماد المخزنة لها، ويمكنه فتح اتصال بنقطة نهاية تابعة لتطبيق آخر. وهذا يعرّض بيانات الاعتماد المخزَّنة لأهداف RDP وSSH وVNC المُدارة ويمنح وصولاً تفاعليًا إلى أنظمة لم يكن المستخدم مُصرّحًا له بالوصول إليها. لا تتأثر التوزيعات التي لا تستخدم مزوّد التحكم في الوصول عن بُعد الخاص بالإصدار المؤسسي (enterprise). تم إصلاح هذه المشكلة في الإصدارات 2026.2.6 و2026.5.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.