CVE-2026-25922 in authentik

Resumen

por MITRE • 2026-02-12

authentik es un proveedor de identidad de código abierto. Antes de 2025.8.6, 2025.10.4 y 2025.12.4, al usar una Fuente SAML que tiene la opción Verificar Firma de Aserción bajo Certificado de Verificación habilitada y no Verificar Firma de Respuesta, o no tiene la configuración de Certificado de Cifrado bajo la configuración de Protocolo Avanzado configurada, era posible para un atacante inyectar una aserción maliciosa antes de la aserción firmada que authentik usaría en su lugar. authentik 2025.8.6, 2025.10.4 y 2025.12.4 solucionan este problema.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• Responsable: GitHub M
• Reservar: 2026-02-09
• Divulgación: 2026-02-12
• Moderación: aceptado
• Artículo: VDB-345808
• CPE: listo
• CWE: CWE-287 (confirmado)
• CVSS: 8.8 (CNA)
• EPSS: 0.00226
• KEV: no
• Actividades: muy bajo

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-25922
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-25922
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-25922/