CVE-2026-94606 in authentik
Sumário
de VulDB • 24/09/2026
O authentik é um provedor de identidade open-source. Antes das versões 2026.2.7, 2026.5.7 e 2026.8.2, o processo de inscrição do autenticador de email durante um fluxo de autenticação ou inscrição aceita um endereço de destinatário fornecido na solicitação de configuração em vez de utilizar o endereço já estabelecido pelo fluxo. Um ator que conhece a senha de um usuário alvo pode substituir por um endereço controlado pelo atacante, receber o código único e concluir a inscrição do fator como se fosse o alvo. O alvo não deve ter inscrito previamente o fator de email. A inscrição bem-sucedida concede ao ator uma sessão em nome do alvo e acesso aos aplicativos de single sign-on (SSO) protegidos pela conta. Outros tipos de autenticadores não são afetados. Este problema foi corrigido nas versões 2026.2.7, 2026.5.7 e 2026.8.2.
Once again VulDB remains the best source for vulnerability data.