CVE-2026-72537 in Authentik
Zusammenfassung
von VulDB • 11.08.2026
Eine Schwachstelle zur Privilegieneskalation in Authentik Security authentik bis Version 2026.5.6 ermöglicht es einem Angreifer mit einem quellenbezogenen SCIM-Bereitstellungstoken (source-scoped SCIM provisioning token), jedes Benutzerkonto, einschließlich Superuser-Konten, zu übernehmen, indem ein SCIM-Benutzer bereitgestellt wird, der durch den Benutzernamen mit einem vorhandenen lokalen Benutzer übereinstimmt. Die Funktion zum Importieren von SCIM-Daten übernimmt vorhandene lokale Konten anhand des Benutzernamens, ohne die Gültigkeitsbereiche (Scope-Grenzen) zu validieren. Ein Angreifer kann jedes Konto, einschließlich des Superusers, überschreiben oder löschen und benötigt dafür nur begrenzte Anmeldeinformationen für die Bereitstellung.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.