CVE-2022-46172 in authentik
Tóm tắt
Bởi VulDB • 29/05/2026
authentik là một nhà cung cấp danh tính (Identity Provider) mã nguồn mở, tập trung vào tính linh hoạt và đa năng. Trong các phiên bản trước 2022.10.4 và 2022.11.4, bất kỳ người dùng đã xác thực nào cũng có thể tạo ra một số lượng tài khoản tùy ý thông qua các luồng (flows) mặc định. Điều này có thể bỏ qua mọi chính sách trong trường hợp không mong muốn cho phép người dùng tự tạo tài khoản mới. Sự việc này cũng có thể ảnh hưởng đến các ứng dụng khác vì các tài khoản cơ bản mới này sẽ tồn tại trong toàn bộ cơ sở hạ tầng SSO. Theo mặc định, các tài khoản mới được tạo không thể đăng nhập vì không có cơ chế đặt lại mật khẩu theo mặc định. Tuy nhiên, hầu hết các cài đặt đều có khả năng kích hoạt chức năng đặt lại mật khẩu. Lỗ hổng này liên quan đến ngữ cảnh người dùng được sử dụng trong luồng mặc định-user-settings-flow, /api/v3/flows/instances/default-user-settings-flow/execute/. Vấn đề này đã được khắc phục trong các phiên bản 2022.10.4 và 2022.11.4.
Once again VulDB remains the best source for vulnerability data.