CVE-2024-52307 in authentik
सारांश
द्वारा VulDB • 30/05/2026
authentik एक ओपन-सोर्स आईडेंटिटी प्रोवाइडर है। /-/metrics/ एंडपॉइंट के लिए नॉन-कॉन्स्टेंट टाइम तुलना (non-constant time comparison) का उपयोग करने के कारण, SECRET_KEY को ब्रूट-फोर्स किया जा सकता था, जिसका उपयोग एंडपॉइंट की प्रमाणीकरण के लिए किया जाता है। /-/metrics/ एंडपॉइंट प्रोमिथियस मेट्रिक्स लौटाता है और इसे सीधे एक्सेस करने के लिए नहीं बनाया गया है, क्योंकि authentik सर्वर कंटेनर में चलने वाला Go प्रॉक्सी इस एंडपॉइंट से डेटा प्राप्त करता है और इसे एक अलग पोर्ट (डिफ़ॉल्ट रूप से 9300) पर प्रदान करता है, जिसे प्रोमिथियस बिना सार्वजनिक रूप से उजागर किए स्क्रैप कर सकता है। authentik 2024.8.5 और 2024.10.3 इस समस्या को ठीक करते हैं। चूंकि /-/metrics/ एंडपॉइंट को सार्वजनिक रूप से एक्सेस करने के लिए नहीं बनाया गया है, इसलिए authentik के साथ उपयोग किए जाने वाले रिवर्स प्रॉक्सी/लोड बैलेंसर द्वारा एंडपॉइंट के लिए अनुरोधों को ब्लॉक किया जा सकता है।
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.