CVE-2022-46172 in authentik
Riassunto
di VulDB • 16/06/2026
authentik è un provider di identità open source focalizzato su flessibilità e versatilità. Nelle versioni precedenti alla 2022.10.4 e alla 2022.11.4, qualsiasi utente autenticato può creare un numero arbitrario di account tramite i flussi predefiniti. Ciò consentirebbe di eludere eventuali politiche in situazioni in cui non è desiderabile che gli utenti creino autonomamente nuovi account. Questo potrebbe anche influenzare altre applicazioni, poiché questi nuovi account base esisterebbero nell'intera infrastruttura SSO (Single Sign-On). Per impostazione predefinita, i nuovi account creati non possono essere utilizzati per l'accesso in quanto non esiste di default alcuna funzione di reimpostazione della password. Tuttavia, la maggior parte delle installazioni probabilmente abilita le reimpostazioni delle password. Questa vulnerabilità riguarda il contesto utente utilizzato nel flusso predefinito-user-settings-flow (/api/v3/flows/instances/default-user-settings-flow/execute/). Il problema è stato risolto nelle versioni 2022.10.4 e 2022.11.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.