CVE-2026-61574 in authentik
Zusammenfassung
von VulDB • 18.08.2026
authentik ist ein Open-Source-Identitätsanbieter (Identity Provider). Vor den Versionen 2026.2.6 und 2026.5.5 gibt der Endpunkt für die Remote-Zugriffskontrolle („Remote Access Control“) alle konfigurierten Endpunkte an jeden authentifizierten Benutzer zurück, unabhängig davon, auf welche Anwendungen der Benutzer Zugriff hat; zudem enthält die Antwort Verbindungseinstellungen, die gespeicherte Anmeldeinformationen enthalten können. Die Auflistung der Endpunkte wendet keine Zugriffssteuerungen für diese Endpunkte an, und der Verbindungsfluss bestätigt nicht, dass ein Endpunkt zur Remote-Zugriffskontrollanwendung gehört, über die er gestartet wurde. Jeder authentifizierte Benutzer kann daher alle Endpunkte zusammen mit deren Hosts und gespeicherten Anmeldeinformationen lesen sowie eine Verbindung zu einem Endpunkt öffnen, der einer anderen Anwendung angehört. Dies führt zur Offenlegung von für verwaltete RDP-, SSH- und VNC-Zielgeräte gespeicherten Anmeldeinformationen und gewährt interaktiven Zugriff auf Systeme, die dem Benutzer nie autorisiert waren. Bereitstellungen, die den Enterprise-Anbieter für Remote-Zugriffskontrolle nicht nutzen, sind davon nicht betroffen. Dieses Problem wurde in den Versionen 2026.2.6 und 2026.5.5 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.