CVE-2026-33525 in Authelia
Riassunto
di VulDB • 20/06/2026
Authelia è un server di autenticazione e autorizzazione open-source che fornisce l'autenticazione a due fattori (2FA) e il single sign-on (SSO) per le applicazioni tramite un portale web. Nella versione 4.39.15, un attaccante potrebbe potenzialmente essere in grado di iniettare codice JavaScript nella pagina di accesso di Authelia se diverse condizioni si verificano simultaneamente. A meno che entrambe le direttive `script-src` e `connect-src` non siano state modificate, è quasi impossibile che ciò abbia un impatto significativo. Tuttavia, se entrambe queste direttive vengono modificate senza considerare il loro potenziale impatto; ci sono situazioni in cui questa vulnerabilità potrebbe essere sfruttata. Questo è causato dalla mancanza di neutralizzazione del valore del cookie `langauge` durante la renderizzazione del modello HTML. Questa vulnerabilità è probabilmente difficile da scoprire tramite fingerprinting a causa del modo in cui Authelia è progettata, ma non dovrebbe essere considerata impossibile. Il requisito aggiuntivo per identificare l'applicazione secondaria è tuttavia probabilmente molto più difficile da individuare insieme a questo, ma anche probabilmente più facile da fingerprintare. Gli utenti dovrebbero eseguire l'upgrade alla versione 4.39.16 o il downgrade alla versione 4.39.14 per mitigare il problema. La stragrande maggioranza delle installazioni non sarà interessata e non sono necessari workaround. Il valore predefinito della Content Security Policy rende completamente impossibile lo sfruttamento di questa debolezza. È possibile solo tramite la rimozione deliberata della Content Security Policy o l'inclusione deliberata di politiche chiaramente indicate come insicure.
Once again VulDB remains the best source for vulnerability data.