CVE-2026-49448

Pominięcie etapu uwierzytelniania (Source Stage) w Goauthentik Authentik

CVSS 9.8v3.1pub. 2026-06-02upd. 2026-06-04

W Goauthentik Authentik wykryto krytyczną podatność umożliwiającą ominięcie etapu uwierzytelniania (Source Stage) poprzez wysłanie pustego żądania POST. Zagrożenie jest szczególnie poważne, ponieważ dotyczy dostawcy tożsamości (identity provider) i może pozwolić na nieautoryzowany dostęp bez podania jakichkolwiek poświadczeń.

▸ Pokaż oryginał (EN)

authentik is an open-source identity provider. Prior to versions 2025.12.6, 2026.2.4, and 2026.5.1, the Source stage can be bypassed by sending an empty POST. This issue has been patched in versions 2025.12.6, 2026.2.4, and 2026.5.1.

🤖 Analiza AI

Jak działa

Podatność (CWE-287 — nieprawidłowa weryfikacja tożsamości) polega na tym, że mechanizm Source Stage nie waliduje poprawnie przesyłanych danych podczas procesu uwierzytelniania. Atakujący może wysłać puste żądanie HTTP POST, które zostaje zaakceptowane przez aplikację, omijając w ten sposób wymagany etap weryfikacji tożsamości. Nie są wymagane żadne uprawnienia, interakcja użytkownika ani szczególne warunki sieciowe — atak jest możliwy zdalnie przez sieć.

Skutki

Atakujący może ominąć mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp do zasobów chronionych przez Authentik, co może skutkować naruszeniem poufności, integralności oraz dostępności systemu zarządzania tożsamością.

Mitygacja

Należy zaktualizować Goauthentik Authentik do wersji 2025.12.6, 2026.2.4 lub 2026.5.1, w których podatność została załatana. Szczegóły dostępne w referencjach producenta na GitHub Security Advisories.