CVE-2026-40172
Açıklama
authentik açık kaynaklı bir kimlik sağlayıcıdır. 2025.12.5'ten önceki sürümlerde ve 2026.2.0-rc1 ile 2026.2.2 arasındaki sürümlerde, PATCH /api/v3/core/users/{pk}/ API'si, hedef kullanıcı üzerinde change_user yetkisine sahip bir çağırıcının, enable_group_superuser gereksinimi olmaksızın UserSerializer aracılığıyla is_superuser=True olan gruplar da dahil olmak üzere rastgele gruplar atamasına izin vererek yetki yükseltmeye yol açmaktadır. Bu durum, grup yönetim yollarında uygulanan daha katı izin modelini atlatmakta ve devredilmiş kullanıcı yönetimi izinlerinin, hedef kullanıcıları yönetici eşdeğeri ayrıcalıklara yükseltmesine olanak tanımaktadır. Grupları güncelleme veya kullanıcıları güncelleme iznine sahip kullanıcılar, kendilerini veya izin sahibi oldukları diğer kullanıcıları süper kullanıcı izinlerine sahip kullanıcılara ekleyebilmektedir. Bu sorun 2025.12.5 ve 2026.2.3 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| goauthentik authentik | < 2025.12.5, >= 2026.2.0-rc1, < 2026.2.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.