CVE-2025-53942
Təsvir
authentik geniş protokol dəstəyi ilə çevikliyi və çoxfunksiyalılığı ön plana çıxaran açıq mənbəli Kimlik Provayderidir (Identity Provider). 2025.4.4 və daha əvvəlki versiyalarda, həmçinin 2025.6.0-rc1-dən 2025.6.3-ə qədər olan versiyalarda, OAuth/SAML vasitəsilə qeydiyyatdan keçmiş və ya hesablarını OAuth/SAML provayderlərinə bağlamış deaktiv edilmiş istifadəçilər, hesabları deaktiv olmasına baxmayaraq sistemə qismən giriş imkanını saxlaya bilirlər. Onlar API-ya daxil ola bilmədikləri, lakin tətbiqin URL ünvanını bildikləri təqdirdə həmin tətbiqlərə icazə verə bildikləri yarı-autentifikasiya vəziyyətinə düşürlər. Bu problemi aradan qaldırmaq üçün tərtibatçılar müvafiq autentifikasiya axınındakı istifadəçi giriş mərhələsinə `return request.context["pending_user"].is_active` ifadəsi ilə ekspressiya siyasəti əlavə edə bilərlər. Bu dəyişiklik `return` ifadəsinin yalnız istifadəçi aktiv olduqda istifadəçi giriş mərhələsini aktivləşdirməsini təmin edir. Bu problem authentik 2025.4.4 və 2025.6.4 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- goauthentik authentik2025.4.4, 2025.6.4 və ya daha yeni versiya
- goauthentik.io0.0.0-20250722122105-7a4c6b9b50f8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| goauthentik authentik | v < 2025.4.4, 2025.6.0 ≤ v < 2025.6.4 | 2025.4.4, 2025.6.4 |
| goauthentik.ioGo | v < 0.0.0-20250722122105-7a4c6b9b50f8, Aralıq göstərilməyib | 0.0.0-20250722122105-7a4c6b9b50f8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.