CVE-2026-41569 in authentik
Сводка
по VulDB • 02.06.2026
authentik — это провайдер идентификации с открытым исходным кодом. До версии 2026.2.3 провайдер WS-Federation проверяет передаваемый пользователем параметр wreply с помощью простой проверки префикса строки, а не посредством корректного разбора URL. Атакующий, способный сформировать ссылку для входа, может указать значение wreply с другого источника (origin), которое пройдет проверку (например, https://portal.example.com.evil.tld/), что приведет к тому, что браузер жертвы отправит POST-запрос с подписанным ответом WS-Federation для входа на инфраструктуру, контролируемую атакующим. Эта проблема исправлена в версии 2026.2.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.