CVE-2026-54730

Nome do Software Vulnerável e Versões Afetadas authentik versões anteriores a 2026.2.6 authentik versões anteriores a 2026.5.5

Description Em implantações empresariais que utilizam um estágio Google Chrome Endpoint com o modo definido como REQUIRED ou o estágio depreciado Google Chrome Device Trust Connector, o fluxo de autenticação avança sem confirmar se a atestação de dispositivo out-of-band foi concluída. O processo de atestação do dispositivo ocorre em um iframe de verificação que interage com a Google Verified Access API. No entanto, o sistema trata o fluxo como bem-sucedido imediatamente após o envio do estágio. Isso permite que um invasor ignore o iframe de verificação e se autentique usando um dispositivo não verificado. Se a confiança do dispositivo for o único fator de autenticação adicional, essa proteção é completamente ignorada, embora outros fatores ativos permaneçam eficazes.

Recommendations Atualize para a versão 2026.2.6. Atualize para a versão 2026.5.5. Como mitigação temporária, evite usar o estágio Google Chrome Endpoint com o modo definido como REQUIRED ou o estágio depreciado Google Chrome Device Trust Connector em fluxos de autenticação.