authentik: Geloeschte Sitzungen werden bei Datenbank-Speicherung nicht widerrufen

Beschreibung

Der Open-Source-Identity-Provider authentik widerruft in Versionen vor 2024.12.4 und 2025.2.3 bei aktivierter Sitzungsspeicherung in der Datenbank (eine Nicht-Standard-Einstellung) geloeschte Sitzungen nicht. Ueber die Weboberflaeche oder die API geloeschte Sitzungen bleiben weiterhin gueltig, und der Sitzungsinhaber behaelt seinen Zugriff. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: auf authentik 2025.2.3 oder 2024.12.4 aktualisieren; uebergangsweise wird die Umstellung auf cache-basierte Sitzungsspeicherung empfohlen.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in authentik

• authentik Source Stage: Bypass via leerem POST-Request CVE-2026-49448
• authentik – Fehlerhafte RegEx-Prüfung von OAuth2-Redirect-URIs CVE-2024-52289
• Session-Übernahme über RAC-Token in authentik CVE-2025-52553
• authentik: Unautorisiertes Setzen des Standard-Admin-Passworts CVE-2023-46249
• authentik SFE (Simple Flow Executor): Sicherheitslücke in Stage-Implementierung CVE-2026-42849
• authentik: Codeausführung über Test-Endpunkt bei delegierten Rechten CVE-2026-25227