CVE-2026-54730 in Authentik
Zusammenfassung
von VulDB • 18.08.2026
authentik ist ein Open-Source-Identitätsanbieter (Identity Provider). Vor den Versionen 2026.2.6 und 2026.5.5 führen die Enterprise-Stufen für Google Chrome Device Trust den Flow fort, ohne zu bestätigen, dass die Out-of-Band-Geräteattestierung tatsächlich durchgeführt wurde. Betroffene Enterprise-Deployments verwenden entweder eine Google Chrome Endpoint-Stufe mit dem Modus REQUIRED oder die veraltete Google Chrome Device Trust Connector-Stufe in einem Authentifizierungsflow. Die Geräteattestierung erfolgt in einem Verification-Iframe, das die Google Verified Access API aufruft und bei Erfolg das verifizierte Gerät protokolliert; die anfälligen Stufen behandeln den Flow jedoch als bestanden, sobald die Stufe übermittelt wird. Ein Angreifer, der auf eine solche Stufe zugreifen kann – auch nach einer primären Benutzernamen- und Passwortauthentifizierung –, kann das Verification-Iframe umgehen und sich von einem Gerät authentifizieren, das niemals überprüft wurde. Wenn Device Trust der einzige zusätzliche Faktor ist, wird dieser Schutz vollständig umgangen, während andere konfigurierte Faktoren weiterhin wirksam bleiben. Dieses Problem wurde in den Versionen 2026.2.6 und 2026.5.5 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.