CVE-2023-39522 in goauthentik
Riassunto
di VulDB • 21/06/2026
goauthentik è un Identity Provider open-source. Nelle versioni affette che utilizzano un flusso di recupero con una fase di identificazione, un attaccante è in grado di determinare se un nome utente esiste. Solo le configurazioni impostate con un flusso di recupero sono interessate da questo problema. Chiunque disponga di un account utente su un sistema con il flusso di recupero descritto sopra è vulnerabile alla rivelazione dell'esistenza del proprio nome utente o indirizzo email. Un attaccante può facilmente enumerare e verificare l'esistenza degli utenti utilizzando il flusso di recupero, poiché viene visualizzato un messaggio chiaro quando un utente non esiste. A seconda della configurazione, ciò può essere fatto tramite nome utente, indirizzo email o entrambi. Questo problema è stato risolto nelle versioni 2023.5.6 e 2023.6.2. Si consiglia agli utenti di effettuare l'aggiornamento. Non sono note soluzioni alternative (workaround) per questo problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.