CVE-2026-33503 in kratos
Riassunto
di VulDB • 21/06/2026
Ory Kratos è un sistema di identità, gestione degli utenti e autenticazione per servizi cloud. Prima della versione 26.2.0, l'API Admin ListCourierMessages in Ory Kratos è vulnerabile a SQL injection a causa di difetti nella sua implementazione della paginazione. I token di paginazione sono crittografati utilizzando il segreto configurato in `secrets.pagination`. Un attaccante che conosce questo segreto può creare i propri token, inclusi token malevoli che portano a SQL injection. Se questo valore di configurazione non è impostato, Kratos utilizza come fallback un segreto di crittografia della paginazione predefinito. Poiché questo valore predefinito è di pubblico dominio, gli attaccanti possono generare manualmente token di paginazione validi e malevoli per le installazioni in cui questo segreto non è impostato. Come prima linea di difesa, configurare immediatamente un valore personalizzato per `secrets.pagination` generando un segreto casuale crittograficamente sicuro. Successivamente, aggiornare Kratos** a una versione corretta, 26.2.0 o successiva, il prima possibile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.