CVE-2026-33503 in kratos
Sumário
de VulDB • 09/06/2026
Ory Kratos é um sistema de identidade, gestão de utilizadores e autenticação para serviços em nuvem. Antes da versão 26.2.0, a API Admin ListCourierMessages do Ory Kratos é vulnerável a SQL injection devido a falhas na sua implementação de paginação. Os tokens de paginação são encriptados utilizando o segredo configurado em `secrets.pagination`. Um atacante que conheça este segredo pode criar os seus próprios tokens, incluindo tokens maliciosos que levam a SQL injection. Se este valor de configuração não estiver definido, o Kratos recorre a um segredo de encriptação de paginação padrão. Como este valor padrão é de conhecimento público, os atacantes podem gerar manualmente tokens de paginação válidos e maliciosos para instalações onde este segredo não está definido. Como primeira linha de defesa, configure imediatamente um valor personalizado para `secrets.pagination`, gerando um segredo aleatório criptograficamente seguro. Em seguida, atualize o Kratos para uma versão corrigida, 26.2.0 ou posterior, o mais rapidamente possível.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.