PT-2026-42827 · Authentik · Authentik

Publicado

2026-05-22

·

Atualizado

2026-06-01

·

CVE-2026-40172

CVSS v3.1

8.1

Alta

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas authentik versões anteriores a 2025.12.5 authentik versões 2026.2.0-rc1 até 2026.2.2
Descrição A API 'PATCH /api/v3/core/users/{pk}/' permite que um chamador com permissões change user em um usuário alvo atribua grupos arbitrários através do UserSerializer. Isso inclui grupos onde is superuser está definido como True, sem exigir a permissão enable group superuser. Esta falha ignora o modelo de permissões mais rigoroso utilizado nos caminhos de gerenciamento de grupos, permitindo que permissões delegadas de gerenciamento de usuários escalem usuários alvo para privilégios equivalentes a de administrador. Consequentemente, usuários autorizados a atualizar grupos ou usuários podem elevar seus próprios privilégios ou de terceiros para o status de superusuário. Foram observados incidentes reais de atividades elevadas visando o software.
Recomendações Atualizar versões anteriores a 2025.12.5 para 2025.12.5. Atualizar versões 2026.2.0-rc1 até 2026.2.2 para 2026.2.3.

Exploit

Correção

LPE

Improper Privilege Management

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BIT-AUTHENTIK-2026-40172
CVE-2026-40172
GHSA-H6X7-HJJC-WJC9

Produtos afetados

Authentik