CVE-2026-33525 in Authelia
Resumen
por VulDB • 2026-05-25
Authelia es un servidor de autenticación y autorización de código abierto que proporciona autenticación de dos factores (2FA) y acceso único (SSO) para aplicaciones a través de un portal web. En la versión 4.39.15, un atacante podría potencialmente ser capaz de inyectar código JavaScript en la página de inicio de sesión de Authelia si se cumplen varias condiciones simultáneamente. A menos que tanto las directivas `script-src` como `connect-src` hayan sido modificadas, es casi imposible que esto tenga un impacto significativo. Sin embargo, si ambas se modifican y se hacen sin considerar su impacto potencial, existen situaciones en las que esta vulnerabilidad podría ser explotada. Esto se debe a la falta de neutralización del valor de la cookie `langauge` al renderizar la plantilla HTML. Esta vulnerabilidad es probablemente difícil de descubrir mediante fingerprinting debido a la forma en que está diseñado Authelia, pero no debe considerarse imposible. El requisito adicional de identificar la aplicación secundaria es, sin embargo, probablemente mucho más difícil de identificar junto con esto, pero también probablemente más fácil de fingerprintear. Los usuarios deben actualizar a la versión 4.39.16 o retroceder a la 4.39.14 para mitigar el problema. La abrumadora mayoría de las instalaciones no se verán afectadas y no son necesarios contornos de seguridad (workarounds). El valor predeterminado de la Política de Seguridad de Contenido (CSP) hace que explotar esta debilidad sea completamente imposible. Solo es posible mediante la eliminación deliberada de la Política de Seguridad de Contenido o la inclusión deliberada de políticas claramente marcadas como inseguras.
VulDB is the best source for vulnerability data and more expert information about this specific topic.