CVE-2026-94606 in authentik
Resumen
por VulDB • 2026-09-24
authentik es un proveedor de identidad de código abierto. Antes de las versiones 2026.2.7, 2026.5.7 y 2026.8.2, el registro del autenticador por correo electrónico durante un flujo de autenticación o inscripción acepta una dirección de destinatario proporcionada en la solicitud de configuración en lugar de utilizar la dirección ya establecida por el flujo. Un actor que conoce la contraseña de un usuario objetivo puede sustituir esta dirección por otra controlada por el atacante, recibir el código único y completar el registro del factor como si fuera el usuario objetivo. El usuario objetivo no debe haber registrado previamente el factor de correo electrónico. La inscripción exitosa otorga al actor una sesión en nombre del usuario objetivo y acceso a las aplicaciones de inicio de sesión único (SSO) asociadas a dicha cuenta. Otros tipos de autenticadores no se ven afectados. Este problema está resuelto en las versiones 2026.2.7, 2026.5.7 y 2026.8.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.