CVE-2026-33525

Authelia, veb portal vasitəsilə tətbiqlər üçün iki faktorlu autentifikasiya və vahid giriş (SSO) təmin edən açıq mənbəli autentifikasiya və avtorizasiya serveridir. Versiya 4.39.15-də, bir neçə şərt eyni vaxtda yerinə yetirildikdə, hücumçu potensial olaraq Authelia giriş səhifəsinə javascript inyeksiya edə bilər. Həm `script-src`, həm də `connect-src` direktivləri dəyişdirilmədiyi təqdirdə, bunun əhəmiyyətli təsir göstərməsi demək olar ki, qeyri-mümkündür. Lakin, hər ikisi dəyişdirilibsə və bu, potensial təsirləri nəzərə alınmadan edilibsə, bu zəifliyin istismar edilə biləcəyi hallar mövcuddur. Bu, HTML şablonu render edilərkən `langauge` cookie dəyərinin neytrallaşdırılmaması ilə bağlıdır. Authelia-nın dizaynı səbəbindən bu zəifliyin fingerprinting yolu ilə aşkar edilməsi çətin olsa da, bu, qeyri-mümkün hesab edilməməlidir. Bununla yanaşı, ikinci tətbiqin müəyyən edilməsi tələbi çox güman ki, daha çətin olacaq, lakin onun fingerprinting-i daha asan ola bilər. İstifadəçilər problemi aradan qaldırmaq üçün versiyanı 4.39.16-ya yüksəltməli və ya 4.39.14-ə endirməlidirlər. Quraşdırmaların böyük əksəriyyəti bundan təsirlənməyəcək və heç bir alternativ həll yolu tələb olunmur. Content Security Policy-nin standart dəyəri bu zəifliyin istismarını tamamilə qeyri-mümkün edir. Bu, yalnız Content Security Policy-nin qəsdən silinməsi və ya açıq şəkildə qeyd edilmiş təhlükəsiz olmayan siyasətlərin qəsdən daxil edilməsi yolu ilə mümkündür.