authentik – Fehlende Authentifizierung bei mehreren API-Endpunkten

Beschreibung

authentik ist ein quelloffener Identity Provider. Mehrere API-Endpunkte lassen sich ohne korrekte Authentifizierung bzw. Autorisierung aufrufen, darunter /api/v3/crypto/certificatekeypairs/<uuid>/view_certificate/, /api/v3/crypto/certificatekeypairs/<uuid>/view_private_key/ und /api/v3/.../used_by/. Der Zugriff setzt jeweils die Kenntnis der Objekt-ID voraus, die insbesondere bei Zertifikaten für unprivilegierte Nutzer nicht ohne Weiteres zugänglich ist; zudem sind die IDs der meisten Objekte UUIDv4 und damit nicht leicht erratbar oder enumerierbar. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Auf authentik 2024.4.4, 2024.6.4 oder 2024.8.0 aktualisieren.

Changelog

1. 2026-07-30 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in authentik

• authentik Source Stage: Bypass via leerem POST-Request CVE-2026-49448
• authentik – Fehlerhafte RegEx-Prüfung von OAuth2-Redirect-URIs CVE-2024-52289
• Session-Übernahme über RAC-Token in authentik CVE-2025-52553
• authentik: Unautorisiertes Setzen des Standard-Admin-Passworts CVE-2023-46249
• authentik SFE (Simple Flow Executor): Sicherheitslücke in Stage-Implementierung CVE-2026-42849
• authentik: Codeausführung über Test-Endpunkt bei delegierten Rechten CVE-2026-25227