CVE-2022-46145
Açıklama
authentik açık kaynaklı bir kimlik sağlayıcıdır. 2022.11.2 ve 2022.10.2 öncesindeki sürümler, yetkisiz kullanıcı oluşturma ve potansiyel hesap ele geçirme riskine karşı savunmasızdır. Varsayılan akışlar ile kimliği doğrulanmamış kullanıcılar authentik üzerinde yeni hesaplar oluşturabilir. E-posta doğrulamalı şifre kurtarmaya izin veren bir akış mevcutsa, bu durum yönetici hesaplarının e-posta adreslerini üzerine yazmak ve bu hesapları ele geçirmek için kullanılabilir. authentik 2022.11.2 ve 2022.10.2 sürümleri bu sorunu gidermektedir. Geçici bir çözüm olarak, içeriği `return request.user.is_authenticated` olan bir politika oluşturulabilir ve `default-user-settings-flow flow` yapısına bağlanabilir.
Nasıl düzeltilir
- goauthentik authentik2022.10.2, 2022.11.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| goauthentik authentik | v < 2022.10.2, 2022.11 ≤ v < 2022.11.2 | 2022.10.2, 2022.11.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.