CVE-2026-40166
Təsvir
authentik açıq mənbəli kimlik provayderidir. 2025.12.5 versiyasından əvvəlki və 2026.2.0-rc1-dən 2026.2.2-yə qədər olan versiyalarda, ən azı bir OAuth2 giriş tokeni olan autentifikasiya olunmuş admin olmayan istifadəçilər, daha əvvəl autentifikasiya keçdikləri konfidensial OAuth2 provayderlərinin client_secret məlumatlarını əldə edə bilərlər ki, bu da həssas məlumatların düzgün icazələri olmayan istifadəçilərə açılmasına səbəb olur. Bu məntiq GET /api/v3/oauth2/access_tokens/ ünvanındadır. API cavabı, client_type: confidential olaraq konfiqurasiya edilmiş provayderlər üçün client_id və client_secret ehtiva edən daxili provayder obyektini daxil edir ki, bu da aşağı imtiyazlı istifadəçilər üçün əlçatan olmamalıdır. Bu problem 2025.12.5 və 2026.2.3 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| goauthentik authentik | < 2025.12.5, >= 2026.2.0-rc1, < 2026.2.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.