CVE-2026-54730 in Authentik
요약
\~에 의해 VulDB • 2026. 08. 18.
authentik는 오픈소스 ID 공급자입니다. 버전 2026.2.6 및 2026.5.5 이전에서는 엔터프라이즈 Google Chrome 장치 신뢰도(stage)가 외부 채널(out-of-band) 장치 증명(device attestation)이 실제로 실행되었는지 확인하지 않고 흐름을 진행합니다. 영향을 받는 엔터프라이즈 배포 환경에는 인증 흐름에 REQUIRED 모드로 설정된 Google Chrome Endpoint stage 또는 사용 중단된(deprecated) Google Chrome Device Trust Connector stage가 포함되어 있습니다. 장치 증명은 Google Verified Access API를 호출하고 성공 시 검증된 장치를 기록하는 verification iframe에서 발생하지만, 취약한 stage는 제출되는 순간 해당 단계를 통과한 것으로 처리합니다. 이러한 단계에 접근할 수 있는 공격자는 기본 사용자 이름 및 비밀번호 인증 이후에도 verification iframe을 건너뛰어 결코 검증되지 않은 장치로부터 인증받을 수 있습니다. 장치 신뢰도가 유일한 추가 요소인 경우 해당 보호 장치는 완전히 우회되지만, 다른 구성된 요소들은 유효하게 유지됩니다. 이 문제는 버전 2026.2.6 및 2026.5.5에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.