CVE-2026-33525 in Authelia
要約
〜によって VulDB • 2026年05月25日
Autheliaは、Webポータルを介してアプリケーションに対して二要素認証（2FA）およびシングルサインオン（SSO）を提供するオープンソースの認証・認可サーバーです。バージョン4.39.15では、複数の条件が同時に満たされた場合、攻撃者がAutheliaのログインページにJavaScriptをインジェクトできる可能性があります。`script-src`ディレクティブと`connect-src`ディレクティブの両方が変更されていない限り、これが意味のある影響を与えることはほぼ不可能です。しかし、これら両方が変更され、かつその潜在的な影響を考慮せずに変更が行われた場合、この脆弱性が悪用される状況が存在します。これは、HTMLテンプレートをレンダリングする際に`langauge`（注：原文のまま）クッキー値の中和が行われないことに起因します。Autheliaの設計方法により、フィンガープリンティングによるこの脆弱性の発見は困難であると考えられますが、不可能と見なすべきではありません。ただし、二次アプリケーションを特定するための追加要件は、これと同時に特定するのが大幅に困難である一方、フィンガープリンティングについては比較的容易である可能性があります。この問題を緩和するには、バージョン4.39.16にアップグレードするか、4.39.14にダウングレードしてください。インストールの圧倒的多数は影響を受けず、ワークアラウンドは必要ありません。デフォルトのコンテンツセキュリティポリシー（CSP）の値により、この弱点を悪用することは完全に不可能です。CSPの意図的な削除、または明確に注意書き付きの安全でないポリシーの意図的な組み込みが行われた場合のみ、悪用が可能となります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.