CVE-2026-94606
Açıklama
authentik açık kaynaklı bir kimlik sağlayıcıdır. 2026.2.7, 2026.5.7 ve 2026.8.2 sürümlerinden önce, authentik e-posta kimlik doğrulayıcı kaydı, bir kimlik doğrulama veya kayıt akışı sırasında, akış tarafından halihazırda belirlenmiş adresi kullanmak yerine kurulum isteğinde sağlanan alıcı adresini kabul etmektedir. Hedef kullanıcının şifresini bilen bir aktör, saldırgan tarafından kontrol edilen bir adresi ikame edebilir, tek seferlik kodu alabilir ve faktör kaydını hedef kullanıcı olarak tamamlayabilir. Hedef kullanıcının daha önceden e-posta faktörünü kaydetmemiş olması gerekir. Başarılı kayıt işlemi, aktöre hedef kullanıcı olarak bir oturum ve hesaba bağlı tekli oturum açma (single sign-on) uygulamalarına erişim sağlar. Diğer kimlik doğrulayıcı türleri etkilenmemiştir. Bu sorun 2026.2.7, 2026.5.7 ve 2026.8.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| goauthentik authentik | < 2026.2.7, >= 2026.5.0, < 2026.5.7, >= 2026.8.0, < 2026.8.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.