PT-2025-12554 · Authentik · Authentik

CVE-2025-29928 · Publicado 2025-03-23 · Atualizado 2026-04-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do authentik anteriores a 2024.12.4 Versões do authentik anteriores a 2025.2.3

Descrição O problema surge quando o authentik está configurado para usar o banco de dados para armazenamento de sessão, uma configuração não padrão. Nesta configuração, excluir sessões via Interface Web ou API não revoga a sessão, permitindo que o titular da sessão continue acessando o authentik.

Recomendações Para versões anteriores a 2024.12.4 e 2025.2.3, alterne para armazenamento de sessão baseado em cache até que seja possível atualizar para uma versão corrigida, notando que isso excluirá todas as sessões existentes e exigirá que os usuários se autentiquem novamente. Atualize para a versão 2024.12.4 ou 2025.2.3 para corrigir o problema.

Exploit

Correção

Session Fixation

Enumeração de Fraquezas

CWE-384

Identificadores relacionados

BIT-AUTHENTIK-2025-29928

CVE-2025-29928

GHSA-P6P8-F853-9G2P

Produtos afetados

Authentik

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/29xxx/CVE-2025-29928.json · Exploit
• https://github.com/goauthentik/authentik/commit/71294b7deb6eb5726a782de83b957eaf25fc4cf6 · Correção
• https://github.com/goauthentik/authentik/security/advisories/GHSA-p6p8-f853-9g2p · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1905771836018950229 · Publicação no Twitter
• https://twitter.com/WolfgangSesin/status/1905660537238667280 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-authentik-2025-29928 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-29928 · Aviso do Fabricante
• https://t.me/cvetracker/20198 · Publicação no Telegram
• https://twitter.com/chicago_sport_p/status/1903934135300771852 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-29928 · Nota de Segurança
• https://twitter.com/CVEnew/status/1905674330723549343 · Publicação no Twitter
• https://t.me/cveNotify/133067 · Publicação no Telegram
• https://t.me/cvedetector/21438 · Publicação no Telegram