CVE-2026-33503 in kratos
Résumé
par VulDB • 09/06/2026
Ory Kratos est un système de gestion des identités, des utilisateurs et de l'authentification pour les services cloud. Avant la version 26.2.0, l'API Admin ListCourierMessages d'Ory Kratos est vulnérable à une injection SQL en raison de failles dans son implémentation de la pagination. Les jetons de pagination sont chiffrés à l'aide du secret configuré dans `secrets.pagination`. Un attaquant qui connaît ce secret peut fabriquer ses propres jetons, y compris des jetons malveillants qui entraînent une injection SQL. Si cette valeur de configuration n'est pas définie, Kratos revient à un secret de chiffrement de pagination par défaut. Étant donné que cette valeur par défaut est publiquement connue, les attaquants peuvent générer manuellement des jetons de pagination valides et malveillants pour les installations où ce secret n'est pas défini. En tant que première ligne de défense, configurez immédiatement une valeur personnalisée pour `secrets.pagination` en générant un secret aléatoire cryptographiquement sûr. Ensuite, mettez à niveau Kratos vers une version corrigée, 26.2.0 ou ultérieure, dès que possible.
If you want to get best quality of vulnerability data, you may have to visit VulDB.