PT-2026-45854 · Authentik · Authentik

Ayushparkara + 1 · Publicado 2026-06-02 · Atualizado 2026-06-05 · CVE-2026-41569

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas authentik versões anteriores a 2026.2.3

Descrição O provedor WS-Federation neste provedor de identidade de código aberto valida o parâmetro wreply fornecido pelo usuário usando uma verificação de prefixo de string bruta em vez de uma análise de URL adequada. Um invasor pode criar um link de login com um valor wreply de uma origem diferente que ignore essa verificação, levando o navegador da vítima a enviar (POST) a resposta de login WS-Federation assinada para a infraestrutura controlada pelo invasor.

Recomendações Atualize para a versão 2026.2.3.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

BIT-AUTHENTIK-2026-41569

CVE-2026-41569

Produtos afetados

Authentik

Referências · 6

• https://github.com/goauthentik/authentik/security/advisories/GHSA-995q-72cw-cfw3 · Aviso do Fabricante
• https://t.me/cveNotify/166074 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-authentik-2026-41569 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41569 · Nota de Segurança
• https://twitter.com/CVEnew/status/2061993234620899673 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2061994185750618624 · Publicação no Twitter