CVE-2025-64521
Açıklama
authentik açık kaynaklı bir Kimlik Sağlayıcıdır. 2025.8.5 ve 2025.10.2 versiyonlarından önce, bir OAuth sağlayıcısına client_id ve client_secret ile kimlik doğrulaması yapıldığında, authentik bu sağlayıcı için bir servis hesabı oluşturur. Önceki authentik versiyonlarında, hesap devre dışı bırakılmış olsa bile bu hesap için kimlik doğrulaması mümkündü. Diğer izinler doğru şekilde uygulanmakta ve diğer sağlayıcılarla federasyon, atanmış politikaları hala doğru şekilde dikkate almaktadır. authentik 2025.8.5 ve 2025.10.2 versiyonları bu sorunu gidermektedir. Geçici çözüm olarak, uygulamaya servis hesabının hala geçerli olup olmadığını açıkça kontrol eden ve geçerli değilse erişimi reddeden bir politika eklemek mümkündür.
Nasıl düzeltilir
- goauthentik authentik2025.8.5, 2025.10.2 ya da sonraki bir sürüm
- authentik-client2025.8.5, 2025.10.2 ya da sonraki bir sürüm
- goauthentik.io0.0.0-20251119140106-9dbdfc3f1be0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| goauthentik authentik | 2025.8.0 ≤ v < 2025.8.5, 2025.10.0 ≤ v < 2025.10.2 | 2025.8.5, 2025.10.2 |
| authentik-clientPyPI | 2025.8.0 ≤ v < 2025.8.5, 2025.10.0 ≤ v < 2025.10.2 | 2025.8.5, 2025.10.2 |
| goauthentik.ioGo | v < 0.0.0-20251119140106-9dbdfc3f1be0, Aralık belirtilmemiş | 0.0.0-20251119140106-9dbdfc3f1be0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.