PT-2026-7892

CVE-2026-25227

Publicado

2026-02-12

Atualizado

2026-04-16

Descrição por

CVSS 3.1

9.1

Crítica

MétricasAV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do authentik de 2021.3.1 até 2025.8.6 Versões do authentik 2025.10.4 Versões do authentik 2025.12.4

Descrição O authentik é um provedor de identidade de código aberto. Ao usar permissões delegadas, um usuário com a permissão 'Can view * Property Mapping' ou 'Can view Expression Policy' pode executar código arbitrário dentro do contêiner do servidor authentik através do endpoint de teste. Este endpoint destina-se a visualizar previamente como um mapeamento de propriedade ou política funciona. O problema permite a execução de código devido a controles de acesso inadequados no endpoint de teste.

Recomendações Versões do authentik anteriores a 2025.8.6 devem ser atualizadas. A versão 2025.10.4 do authentik deve ser atualizada. A versão 2025.12.4 do authentik deve ser atualizada.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Rahulgovind

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

Identificadores relacionados

CVE-2026-25227