CVE-2026-33525 in Authelia
Sumário
de VulDB • 10/05/2026
O Authelia é um servidor de autenticação e autorização de código aberto que fornece autenticação de dois fatores (2FA) e single sign-on (SSO) para aplicativos por meio de um portal web. Na versão 4.39.15, um atacante pode potencialmente conseguir injetar JavaScript na página de login do Authelia se várias condições forem atendidas simultaneamente. A menos que as diretivas `script-src` e `connect-src` tenham sido modificadas, é quase impossível que isso tenha um impacto significativo. No entanto, se ambas forem alteradas sem considerar seu impacto potencial, existem situações em que essa vulnerabilidade pode ser explorada. Isso é causado pela falta de neutralização do valor do cookie `langauge` ao renderizar o modelo HTML. Essa vulnerabilidade é provavelmente difícil de descobrir por meio de fingerprinting devido à forma como o Authelia é projetado, mas não deve ser considerada impossível. O requisito adicional de identificar o aplicativo secundário, no entanto, provavelmente será significativamente mais difícil de identificar junto com isso, mas também provavelmente mais fácil de fingerprintar. Os usuários devem atualizar para a versão 4.39.16 ou reverter para a 4.39.14 para mitigar o problema. A grande maioria das instalações não será afetada e nenhum workaround é necessário. O valor padrão da Content Security Policy torna a exploração dessa fraqueza completamente impossível. Isso só é possível por meio da remoção deliberada da Content Security Policy ou da inclusão deliberada de políticas claramente marcadas como inseguras.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.