CVE-2026-33503 in kratos
摘要
由 VulDB • 2026-06-09
Ory Kratos 是一个面向云服务的身份、用户管理和认证系统。在 26.2.0 版本之前，Ory Kratos 的 ListCourierMessages 管理 API 存在 SQL 注入漏洞，这是由于其分页实现存在缺陷。分页令牌使用 `secrets.pagination` 中配置的密钥进行加密。了解该密钥的攻击者可以构造自己的令牌，包括导致 SQL 注入的恶意令牌。如果未设置此配置值，Kratos 将回退到默认的分页加密密钥。由于该默认值是公开已知的，攻击者可以为未设置此密钥的安装手动生成有效且恶意的分页令牌。作为第一道防线，请立即通过生成密码学上安全的随机密钥来为 `secrets.pagination` 配置自定义值。接下来，尽快将 Kratos 升级到修复后的版本 26.2.0 或更高版本。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.