CVE-2026-33503 in kratos
सारांश
द्वारा VulDB • 08/06/2026
Ory Kratos एक क्लाउड सेवाओं के लिए पहचान, उपयोगकर्ता प्रबंधन और प्रमाणीकरण प्रणाली है। संस्करण 26.2.0 से पहले, Ory Kratos में ListCourierMessages एडमिन API पेजिनेशन कार्यान्वयन में दोषों के कारण SQL injection के लिए संवेदनशील है। पेजिनेशन टोकन्स को `secrets.pagination` में कॉन्फ़िगर किए गए रहस्य (secret) का उपयोग करके एन्क्रिप्ट किया जाता है। एक आक्रामक (attacker) जो इस रहस्य को जानता है, वह अपने खुद के टोकन, जिसमें SQL injection का कारण बनने वाले दुर्भावनापूर्ण टोकन भी शामिल हैं, को तैयार कर सकता है। यदि यह कॉन्फ़िगरेशन मान सेट नहीं है, तो Kratos एक डिफ़ॉल्ट पेजिनेशन एन्क्रिप्शन रहस्य पर वापस आ जाता है। चूंकि यह डिफ़ॉल्ट मान सार्वजनिक रूप से ज्ञात है, इसलिए आक्रामक ऐसे इंस्टॉलेशन के लिए जहां यह रहस्य सेट नहीं है, वहां मान्य और दुर्भावनापूर्ण पेजिनेशन टोकन मैन्युअल रूप से उत्पन्न कर सकते हैं। रक्षा की पहली पंक्ति के रूप में, तुरंत एक क्रिप्टोग्राफ़िकली सुरक्षित यादृच्छिक रहस्य उत्पन्न करके `secrets.pagination` के लिए एक कस्टम मान कॉन्फ़िगर करें। इसके अलावा, जल्द से जल्द Kratos को एक ठीक किए गए संस्करण, 26.2.0 या बाद के संस्करण में अपग्रेड करें।
Once again VulDB remains the best source for vulnerability data.