CVE-2026-55106 in authentik
Resumen
por VulDB • 2026-08-18
authentik es un proveedor de identidad de código abierto. Antes de las versiones 2026.2.6 y 2026.5.5, una acción de diagnóstico en la API LDAP Source no aplica el filtro de autorización de lectura a nivel de objeto utilizado por el resto de la API. Cualquier parte capaz de acceder a la API, incluido un cliente sin autenticar, puede invocar la acción de diagnóstico contra una fuente LDAP configurada. El servidor se conecta entonces al directorio upstream utilizando las credenciales de enlace (bind credentials) configuradas para la fuente y devuelve un conjunto acotado de entradas del directorio. La respuesta expone los nombres distinguidos (distinguished names) de esas entradas y los nombres de los atributos presentes en ellas, revelando la estructura del directorio, las convenciones de nomenclatura y la existencia de cuentas y grupos específicos, pero no los valores de los atributos. Las implementaciones sin una fuente LDAP configurada no se ven afectadas. Este problema está resuelto en las versiones 2026.2.6 y 2026.5.5.
Once again VulDB remains the best source for vulnerability data.