PT-2022-27762 · Authentik · Authentik

Sdimovv · Publicado 2022-12-02 · Atualizado 2026-04-16 · CVE-2022-46145

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do authentik anteriores à 2022.11.2

Versões do authentik anteriores à 2022.10.2

Descrição

O authentik é um provedor de identidade de código aberto. Com os fluxos padrão, usuários não autenticados podem criar novas contas no authentik. Se existir um fluxo que permita a recuperação de senha por e-mail, isso pode ser usado para sobrescrever o endereço de e-mail de contas de administrador e assumir o controle dessas contas.

Recomendações

Como solução alternativa temporária para versões anteriores à 2022.11.2 e à 2022.10.2, considere criar uma política e vinculá-la ao fluxo default-user-settings-flow com o conteúdo return request.user.is authenticated.

Atualize para a versão 2022.11.2 ou posterior para corrigir o problema.

Atualize para a versão 2022.10.2 ou posterior para corrigir o problema.

Exploit

Correção

Missing Authentication

Improper Authentication

Enumeração de Fraquezas

CWE-306

CWE-287

Identificadores relacionados

BIT-AUTHENTIK-2022-46145

CVE-2022-46145

GHSA-MJFW-54M5-FVJF

Produtos afetados

Authentik

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/46xxx/CVE-2022-46145.json · Exploit
• https://github.com/goauthentik/authentik/security/advisories/GHSA-mjfw-54m5-fvjf · Nota
• https://goauthentik.io/docs/releases/2022.11#fixed-in-2022112 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-authentik-2022-46145 · Aviso do Fabricante
• https://t.me/cvenotify/39264 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-46145 · Nota de Segurança
• https://t.me/cibsecurity/53829 · Publicação no Telegram
• https://goauthentik.io/docs/releases/2022.10#fixed-in-2022102 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-46145 · Aviso do Fabricante