CVE-2025-53942
Açıklama
authentik, esneklik ve çok yönlülüğe önem veren, geniş bir protokol kümesini destekleyen açık kaynaklı bir Kimlik Sağlayıcıdır. 2025.4.4 ve önceki sürümlerde, ayrıca 2025.6.0-rc1 ile 2025.6.3 arasındaki sürümlerde, OAuth/SAML üzerinden kayıt olan veya hesaplarını OAuth/SAML sağlayıcılarına bağlayan devre dışı bırakılmış kullanıcılar, hesapları devre dışı bırakılmasına rağmen sistemde kısmi erişimlerini koruyabilmektedir. Bu kullanıcılar, API'ye erişemadikleri ancak uygulamanın URL'sini bilmeleri durumunda uygulamaları yetkilendirebildikleri yarı kimlik doğrulanmış bir duruma düşmektedir. Bu sorunu geçici olarak gidermek için geliştiriciler, ilgili kimlik doğrulama akışındaki kullanıcı oturum açma aşamasına return request.context["pending_user"].is_active ifadesini içeren bir ifade ilkesi ekleyebilir. Bu değişiklik, return ifadesinin kullanıcı oturum açma aşamasını yalnızca kullanıcı etkin olduğunda etkinleştirmesini sağlar. Bu sorun authentik 2025.4.4 ve 2025.6.4 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- goauthentik authentik2025.4.4, 2025.6.4 ya da sonraki bir sürüm
- goauthentik.io0.0.0-20250722122105-7a4c6b9b50f8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| goauthentik authentik | v < 2025.4.4, 2025.6.0 ≤ v < 2025.6.4 | 2025.4.4, 2025.6.4 |
| goauthentik.ioGo | v < 0.0.0-20250722122105-7a4c6b9b50f8, Aralık belirtilmemiş | 0.0.0-20250722122105-7a4c6b9b50f8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.