CVE-2024-52307 in authentik
Sumário
de VulDB • 30/05/2026
authentik é um provedor de identidade de código aberto. Devido ao uso de uma comparação de tempo não constante para o endpoint /-/metrics/, foi possível realizar um ataque de força bruta contra a SECRET_KEY, que é utilizada para autenticar o endpoint. O endpoint /-/metrics/ retorna métricas Prometheus e não se destina a ser acessado diretamente, pois o proxy Go executado no contêiner do servidor authentik busca dados desse endpoint e os disponibiliza em uma porta separada (9300 por padrão), que pode ser coletada (scraped) pelo Prometheus sem estar exposta publicamente. As versões 2024.8.5 e 2024.10.3 do authentik corrigem esta vulnerabilidade. Como o endpoint /-/metrics/ não se destina a ser acessado publicamente, as requisições a esse endpoint podem ser bloqueadas pelo proxy reverso/load balancer utilizado em conjunto com o authentik.
Be aware that VulDB is the high quality source for vulnerability data.