authentik is an open-source identity provider. Prior to 2026…(CVE-2026-94606・CVSS 8.9)

概要

authentik is an open-source identity provider. Prior to 2026.2.7, 2026.5.7, and 2026.8.2, authentik email authenticator enrollment during an authentication or enrollment flow accepts a recipient address supplied in the setup request instead of using the address already established by the flow. An ac...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

authentik is an open-source identity provider. Prior to 2026.2.7, 2026.5.7, and 2026.8.2, authentik email authenticator enrollment during an authentication or enrollment flow accepts a recipient address supplied in the setup request instead of using the address already established by the flow. An actor who knows a target user's password can substitute an attacker-controlled address, receive the one-time code, and finish enrolling the factor as the target. The target must not have enrolled the email factor already. Successful enrollment gives the actor a session as the target and access to single sign-on applications behind the account. Other authenticator types are not affected. This issue is fixed in versions 2026.2.7, 2026.5.7, and 2026.8.2.

出典: NIST National Vulnerability Database NVD

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

authentikの古いバージョンにおいて、認証または登録フローで攻撃者がコントロールするメールアドレスを設定できる問題があります。これにより、攻撃者はワンタイムコードを受け取り、ターゲットになりすますことが可能です。この問題は2026.2.7、2026.5.7、および2026.8.2で修正されています。

❓ 何が問題か

メール認証器の登録時に攻撃者がコントロールするメールアドレスが使用される脆弱性。

📍 影響範囲

authentikのバージョン2026.2.7、2026.5.7、2026.8.2以前。

🔥 重要度

攻撃者がユーザーになりすまし、シングルサインオンアプリケーションへのアクセスを得る可能性があるため、高いリスクを伴う。

🔧 修正方法

バージョン2026.2.7、2026.5.7、2026.8.2にアップデートする。

🛡️ 暫定回避

パッチ適用までメール認証器の利用を無効にする。

🔍 検知方法

認証フローで使用されるメールアドレスが正規のものであるか確認する。