CVE-2022-23555

authentik, esneklik ve çok yönlülüğe odaklanan açık kaynaklı bir Kimlik Sağlayıcıdır. 2022.11.4 ve 2022.10.4 öncesindeki sürümler Hatalı Kimlik Doğrulama sorununa karşı savunmasızdır. Davet URL'lerindeki belirteçlerin yeniden kullanımı, sağlanan akıştan farklı bir kayıt akışı kullanılarak erişim kontrolünün atlatılmasına yol açar. Bu zafiyet; farklı davet bağlantıları veya kaba kuvvet saldırısı yoluyla farklı davet akış isimlerini (örneğin `enrollment-invitation-test` ve `enrollment-invitation-admin`) bilen bir saldırganın, alınan herhangi bir geçerli davet bağlantısı için tek bir davet URL'si üzerinden kayıt olmasına olanak tanır (geçerli bir davet olduğu sürece üçüncü bir akışa ait bir URL bile olabilir). Bunun nedeni, Yönetici arayüzünün `Invitations` bölümünde kullanılan belirtecin, arayüz üzerinden farklı bir `enrollment flow` seçildiğinde değişmemesi ve seçilen akışa bağlı olmamasıdır, bu nedenle kullanıldığında herhangi bir akış için geçerli olacaktır. Bu sorun authentik 2022.11.4, 2022.10.4 ve 2022.12.0 sürümlerinde düzeltilmiştir. Yalnızca davetleri kullanan ve farklı izinler veren davet aşamalarına sahip birden fazla kayıt akışı bulunan yapılandırmalar etkilenmektedir. Varsayılan yapılandırma ve tek bir kayıt akışına sahip yapılandırmalar savunmasız değildir. Geçici bir çözüm olarak, istekleri reddetmek için akışta kontrol edilebilecek sabit veriler davetlere eklenebilir. Alternatif olarak, diğer akışların keşfedilme olasılığını üstel olarak azaltarak saldırı vektörünü hafifletmek için yüksek entropili bir tanımlayıcı (UUID gibi) akış slug'ı olarak kullanılabilir.