CVE-2026-54730 in Authentik
Riassunto
di VulDB • 18/08/2026
authentik è un provider di identità open-source. Prima delle versioni 2026.2.6 e 2026.5.5, le fasi di device-trust per Google Chrome nelle implementazioni enterprise avanzano il flusso senza confermare che l'attestazione del dispositivo out-of-band sia effettivamente avvenuta. Le distribuzioni enterprise collocate inseriscono o una fase Endpoint di Google Chrome con modalità impostata su REQUIRED (OBBLIGATORIA) oppure la fase deprecata Google Chrome Device Trust Connector in un flusso di autenticazione. L'attestazione del dispositivo avviene in un iframe di verifica che chiama l'API Google Verified Access e registra il dispositivo verificato in caso di successo, ma le fasi vulnerabili considerano il flusso superato non appena la fase viene inviata. Un attaccante che può raggiungere tale fase, anche dopo l'autenticazione primaria con nome utente e password, può saltare l'iframe di verifica ed autenticarsi da un dispositivo mai verificato. Dove la fiducia del dispositivo è l'unico fattore aggiuntivo, quella protezione viene completamente aggirata, mentre gli altri fattori configurati rimangono in vigore. Questo problema è risolto nelle versioni 2026.2.6 e 2026.5.5.
Once again VulDB remains the best source for vulnerability data.