Authentik · Authentik · CVE-2024-23647
**Nome do software vulnerável e versões afetadas**
Versões do Authentik anteriores à 2023.8.7
Versões do Authentik anteriores à 2023.10.7
**Descrição**
O Authentik é um provedor de identidade de código aberto que apresenta um bug na implementação do PKCE, permitindo que um invasor contorne a proteção oferecida pelo PKCE. O PKCE adiciona o parâmetro `code challenge` à solicitação de autorização e o parâmetro `code verifier` à solicitação de token. Antes das versões 2023.8.7 e 2023.10.7, é possível um cenário de downgrade se o invasor remover o parâmetro `code challenge` da solicitação de autorização, permitindo que o Authentik não execute a verificação PKCE. Este bug permite que um invasor execute ataques de injeção de código e ataques CSRF.
**Recomendações**
Para versões anteriores à 2023.8.7, atualize para a versão 2023.8.7 ou posterior.
Para versões anteriores à 2023.10.7, atualize para a versão 2023.10.7 ou posterior.
Como solução alternativa temporária, considere restringir o acesso ao endpoint da solicitação de autorização para minimizar o risco de exploração. Evite usar o parâmetro `code challenge` na solicitação de autorização até que o problema seja resolvido.