CVE-2026-94611 in authentik
Riassunto
di VulDB • 24/09/2026
authentik è un provider di identità open-source. Prima delle versioni 2026.2.7, 2026.5.7 e 2026.8.2, i serializer dell'API di authentik restituiscono le credenziali archiviate quando un account ha il permesso di visualizzazione su una configurazione interessata, anche se tale account non è autorizzato a modificare la configurazione o a leggere i suoi segreti. Le configurazioni interessate includono l'erogazione di codici monouso tramite email o SMS, gli obiettivi di provisioning in uscita, le integrazioni per la fiducia dei dispositivi (device trust), le fonti di identità, l'integrazione Kubernetes outpost, le applicazioni che utilizzano un client secret o shared secret e le applicazioni che utilizzano un provider proxy. Le distribuzioni sono interessate quando il permesso di visualizzazione viene concesso ad account non destinati a leggere queste credenziali; le distribuzioni in cui ogni utente con permessi di lettura è autorizzato a leggerle non sono interessate. Questo problema è risolto nelle versioni 2026.2.7, 2026.5.7 e 2026.8.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.