CVE-2026-61574 in authentik
요약
\~에 의해 VulDB • 2026. 08. 19.
authentik는 오픈소스 ID 공급자입니다. 버전 2026.2.6 및 2026.5.5 이전에서는 원격 액세스 제어(Remote Access Control) 엔드포인트 목록이 사용자가 접근할 수 있는 애플리케이션과 무관하게 구성된 모든 엔드포인트를 인증된 사용자에게 반환하며, 응답에는 저장된 자격 증명을 포함할 수 있는 연결 설정이 포함되어 있습니다. 엔드포인트 나열 기능은 엔드포인트에 적용되는 액세스 제어 규칙을 적용하지 않으며, 연결 흐름에서는 해당 엔드포인트가 시작된 원격 액세스 제어 애플리케이션의 소유인지 확인하지 않습니다. 따라서 인증된 사용자는 모든 엔드포인트와 그 호스트 및 저장된 자격 증명을 읽을 수 있으며, 다른 애플리케이션에 속한 엔드포인트로의 연결을 열 수 있습니다. 이로 인해 관리 대상 RDP, SSH 및 VNC 타겟의 저장된 자격 증명이 노출되고, 사용자가 접근 권한이 없었던 시스템에 대한 인터랙티브 액세스가 허용됩니다. 엔터프라이즈 원격 액세스 제어 공급자를 사용하지 않는 배포는 영향을 받지 않습니다. 이 문제는 버전 2026.2.6 및 2026.5.5에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.